Google OAuth技术咨询：能否通过access_token/id_token获取用户分配的角色？

咱们先分两种令牌来拆解这个问题哈：

1. id_token（身份令牌） #

id_token本质是一个JWT（JSON Web Token），它默认只包含Google定义的标准身份Claims——比如用户ID（sub）、邮箱、姓名、头像地址这些基础身份信息。默认情况下，它不会携带用户的角色信息。

不过有个例外：如果你在Google Cloud/IAM系统里给用户配置了自定义Claims，或者通过Admin SDK给用户添加了自定义角色相关的字段，那么生成的id_token里会包含这些自定义内容，此时你解析id_token就能拿到角色信息。

2. access_token（访问令牌） #

access_token的能力取决于你申请OAuth时请求的权限范围（scopes）：

• 如果你的应用请求了Google Workspace相关的权限（比如Admin SDK的https://www.googleapis.com/auth/admin.directory.user.readonly），你可以用这个access_token调用对应的Google API（比如查询用户详情的接口），从而获取用户在Google Workspace环境中的内置角色信息。
• 如果是你自己应用内部定义的角色（不是Google系统里的角色），那Google的access_token本身不会包含这些信息。你需要在用户认证通过后，用id_token里的sub（用户唯一标识）去你自己的后端数据库或权限系统里查询对应的角色。

额外小贴士 #

• 对于自定义应用角色，更稳妥的做法是：认证完成后，用用户的唯一标识（sub）从自己的服务拉取角色，不要依赖Google令牌直接携带——除非你确实需要把角色嵌入到令牌里，这时候就去配置自定义Claims。
• 解析令牌的时候，一定要验证签名的有效性，避免篡改的风险，别直接信任令牌里的内容。

内容的提问来源于stack exchange，提问作者Rahul Agrawal