Azure广告承载令牌-获取用户标识符

Question

使用由ADAL.NET使用此方法生成的承载令牌来保护对API的调用。

    private async Task<string> getToken()
    {
        AuthenticationResult result = null;
        string userObjectID = (User.FindFirst("http://schemas.microsoft.com/identity/claims/objectidentifier"))?.Value;

        // Using ADAL.Net, get a bearer token to access the TodoListService
        AuthenticationContext authContext = new AuthenticationContext(AzureAdOptions.Settings.Authority, new NaiveSessionCache(userObjectID, HttpContext.Session));
        ClientCredential credential = new ClientCredential(AzureAdOptions.Settings.ClientId, AzureAdOptions.Settings.ClientSecret);

        result = await authContext.AcquireTokenAsync(AzureAdOptions.Settings.TodoListResourceId, credential);


        return result.AccessToken;
    }

然而，当我查看API收到的声明时…没有显示为用户唯一的标识符。Nameidentifier声明对于我为其生成令牌的每个用户都是相同的。

在上面的代码中生成的objectid是令牌生成过程中唯一独特的方面，在令牌的API解构造中表示的声明中，这似乎并不重要。

Answer 1

在accessToken上，有一个声明，其密钥写为oid或object id。它是一个不可变的GUID，将用户唯一标识为Azure对象。

查看这个解码的JSON Web令牌示例，该示例是由Azure AD隐式授权流使用msal.js为单页应用程序生成的用户令牌。

注：部分项目因隐私原因被省略和更改。

json prettyprint-override">{
  "aud": "<app registration guid>
  "iss": "https://login.microsoftonline.com/<tenant id>/v2.0",
  "iat": 1606857684,
  "nbf": 1606857684,
  "exp": 1606861584,
  "name": "developer",
  "oid": "<Object ID>",
  "preferred_username": "[e-mail]",
  "sub": "RePapB10ksij8FA7dv-GdO9u4tz0_Hm4mmSeuGcqByY",
  "tid": "<tenant id>"
  "ver": "2.0"
}