如何在Express API的受保护接口中获取Auth0已登录用户信息

你的思路完全可行，通过后端验证access token获取用户信息的安全性远高于前端直接传递用户信息，以下是具体实现方式：

1. 基础用户信息直接获取 #

你引入的express-jwt中间件在完成token签名验证后，会自动将JWT的payload内容挂载到请求对象上，你可以直接读取：

• 旧版express-jwt：字段为req.user
• 新版express-jwt：字段为req.auth

首先你需要先补全jwtCheck配置中的secret字段，该值可以从你的Auth0后台对应API的「Signing Secret」处获取，不要留空否则token验证会失败。

你可以在受保护接口中直接读取用户唯一标识等基础信息：

app.get('/authed', jwtCheck,(req,res) =>{
    // 读取基础用户信息，sub是Auth0分配的用户唯一ID，永久不变
    const userId = req.user?.sub || req.auth?.sub
    console.log('当前请求用户ID：', userId)
    // JWT内所有默认字段：iss、aud、exp、iat、scope等都可以直接读取
    console.log('JWT payload完整内容：', req.user || req.auth)
    
    res.send("secured resource")
})

2. 获取完整用户信息的两种方案 #

如果需要获取邮箱、昵称、用户元数据等更完整的用户信息，可以选择以下两种方案：

方案一：自定义JWT声明（推荐，性能最优） #

在Auth0后台配置登录后钩子，将需要的用户字段提前写入access token的自定义声明中，无需额外发起请求即可直接从JWT payload中读取：

1. 进入Auth0后台 -> Actions -> Flows -> Login
2. 新增自定义Action，添加以下逻辑：

exports.onExecutePostLogin = async (event, api) => {
  // Auth0要求自定义声明需要带命名空间避免冲突，可自定义命名空间地址
  const claimNamespace = 'https://your-app.com/claims'
  // 写入需要的用户字段到access token
  api.accessToken.setCustomClaim(`${claimNamespace}/email`, event.user.email)
  api.accessToken.setCustomClaim(`${claimNamespace}/name`, event.user.name)
  api.accessToken.setCustomClaim(`${claimNamespace}/metadata`, event.user.user_metadata)
}

3. 保存并部署Action后，后续生成的access token都会携带上述自定义字段，后端可直接从req.user中读取。

方案二：后端调用Auth0接口获取实时信息 #

如果需要获取最新的实时用户信息，不需要提前配置声明，可以在后端通过当前请求的access token调用Auth0的userinfo接口获取完整信息：
首先安装axios依赖：
npm install axios
修改接口逻辑如下：

const axios = require('axios')

app.get('/authed', jwtCheck, async (req,res) =>{
    const accessToken = req.headers.authorization.split(' ')[1]
    try {
      // 调用Auth0 userinfo接口获取完整用户信息
      const userInfoRes = await axios.get('https://dev-ml4yg9zg.us.auth0.com/userinfo', {
        headers: { Authorization: `Bearer ${accessToken}` }
      })
      const fullUserInfo = userInfoRes.data
      console.log('完整用户信息：', fullUserInfo)
    } catch (err) {
      console.error('获取用户信息失败', err)
      return res.status(500).send('获取用户信息失败')
    }
    
    res.send("secured resource")
})

其他注意事项 #

• 前端现有逻辑不需要修改，通过getAccessTokenSilently获取token携带在请求头的实现是正确的
• 如果使用的是最新版的Auth0 Express中间件，推荐使用官方维护的express-oauth2-jwt-bearer替代express-jwt，适配性更强

内容的提问来源于stack exchange，提问作者Thomas Fox