基于授权码的OAuth2流程中，用户代理如何识别已登录用户？

这个问题问得很到位！确实，授权码本身只是个一次性的兑换凭证，不携带任何用户身份数据，用户代理（比如浏览器）拿到它也没法直接知道是谁登录了。不过实际场景里，通常是通过下面这些方式让用户代理识别已登录用户的：

• 客户端主动返回用户身份信息
  当客户端用授权码交换到access_token（和可选的id_token，如果用了OpenID Connect扩展）之后，会拿到用户的身份数据。这时候客户端可以把用户的基本信息（比如用户名、头像、用户ID）直接返回给前端的用户代理，前端就能用这些信息展示登录状态和用户资料了。

• 借助OpenID Connect的ID Token
  如果你的OAuth2流程是基于OpenID Connect（OIDC，专门为身份认证设计的OAuth2扩展），客户端在兑换授权码时会拿到一个id_token——这是一个JWT格式的令牌，里面包含了经过签名的用户身份信息（比如sub唯一用户ID、name、email等）。客户端可以把这个id_token传给用户代理，前端可以在本地验证令牌的合法性（比如用身份提供商的公钥验签），解析出里面的用户信息，这样不用频繁请求后端就能识别用户。

• 传统会话Cookie绑定
  很多客户端会在用户授权成功后，给用户代理设置一个HttpOnly、Secure的会话Cookie。这个Cookie和后端维护的用户会话绑定，用户代理后续每次请求客户端接口时都会自动带上它。后端通过Cookie找到对应的用户会话，就能识别用户，同时可以把用户信息返回给前端展示。这种方式和传统的账号密码登录的会话机制类似，OAuth2只是完成了身份认证的环节，后续的用户识别还是依赖会话Cookie。

• 前端存储用户信息（需注意安全）
  客户端可以把解析后的用户基本信息（比如从id_token里拿的非敏感数据）存在用户代理的localStorage或sessionStorage里。这样前端页面刷新后，不用重新请求后端就能快速获取用户信息，展示登录状态。但要注意，这种方式有XSS攻击的风险，所以绝对不能存敏感数据（比如access_token），而且要定期和后端同步用户信息，确保数据的准确性。

一般实际项目里，会把几种方式结合起来使用——比如用会话Cookie做后端的身份验证，用id_token确保用户信息的真实性，同时把非敏感用户信息存在前端方便快速展示。

内容的提问来源于stack exchange，提问作者keithlee96