JWTのClaimにユーザー情報って含めるべき？？

Question

ユーザー情報をフロントで必要としている時、
「jwt token の claimにユーザー情報含めちゃうパターン」
か
「含めないで 別途 ユーザー情報を取得するAPIを作るパターン」
か
ユーザー情報がほぼ変化しない場合はどっちがいいんでしょうか？？？

Comments

[van-0215]

これに対して、「やってほしいことだけを記載した丸投げの質問」って評価つけられても、困ります。

事実、2つのやり方のどちらがいいかが本当にわかっていません。

「jwt token の claimにユーザー情報含めちゃうパターン」
ではユーザー情報を取得するAPIを打つ必要がなくなるというメリットがあるのですが、

「含めないで 別途 ユーザー情報を取得するAPIを作るパターン」
のメリットは特に無いと思っています。

しかしながら、ネット上に上がっている方法を見る限りでは JWTにはアクセストークンとしての役目だけを持たせている(「含めないで 別途 ユーザー情報を取得するAPIを作るパターン」)ものばかりです。

[dice142]

質問文だけ見ると、やりたいことをただ質問しているだけ、というふうに見えてしまいます。
自分の調べたことや自分の意見も質問文に含めることでそのような誤解はなくなるかと思います。
今後閲覧する方のためにも、上で書かれているコメントを質問文に入れたほうが良いでしょう。

[dice142]

加えて調べたサイト等も載せるとなお良いですね。

[urbainleverrier]

oidcのidトークンについては調べられましたか？
例えばデコードして中身を見ると、名前など含まれていると思います。

[urbainleverrier]

それ以外のものは私はapiを叩くと思います。
ユーザーの情報がどれだけ公開されるのかによりますが、情報取得には何らかの認可をつけると思うので、トークンには含めるべきでないと思います。