是否应该使用JWT返回身份验证端点中的用户数据？

Question

我实现了一个auth端点，它接受电子邮件和密码，并返回一个JWT令牌。在JWT内部，有一个包含用户ID的有效负载。从REST/JWT标准的角度来看，这些方法中有哪些是重要的？

1. 返回令牌，并让客户端在经过解码的user_id回调时请求/users/user_id资源，令牌
2. 从/auth端点返回整个用户对象，以方便客户端。

(我的问题是实现/库无关，以及api设计模式)

Answer 1

总结一下这里的讨论；如果API是在内部使用的，那么它就不那么重要了，如果您要为多个使用者提供外部API，那么就更重要了。这两种方法都没有讨论过任何安全风险。