Azure B2C和.Net Core 2.0中基于声明的授权令牌

Question

我正在构建一个ASP .Net Core 2.0应用，并且想知道如何在我的后端将组声明添加到我的Azure B2C访问令牌。 我使用用户的ID来查询MS Graph，以使用ADAL获取用户的组声明，并且每次用户点击控制器时都需要授权令牌上的组。 我宁愿不要在每次命中控制器时查询MS Graph。

在检索到B2C令牌后，是否可以将组声明添加到B2C令牌中？

如果没有，是否应该将组存储为会话变量？

如果不正确，是否应该在组中创建第二个授权令牌，然后在发送请求时在标头中使用该令牌？

Answer 1

您可以在OpenID通知之一（即OnTokenValidated）中，并将用户的组（或角色，但它们不同）添加到ClaimsPrincipal。 就像是 ：

options.Events = new OpenIdConnectEvents
{

    OnTokenValidated =  ctx =>
    {
        //query the user's groups using api 

        // add claims
        var claims = new List<Claim>
        {
            new Claim("groups", xxxx-xx-xx)
        };
        var appIdentity = new ClaimsIdentity(claims);

        ctx.Principal.AddIdentity(appIdentity);

        return Task.CompletedTask;
    },   
};

下面的链接是.net框架的代码示例，您可以进行修改以适合.net核心版本：

在Azure Active Directory B2C中按组授权

Azure AD B2C-角色管理

您可以通过在Azure AD B2C反馈论坛中对其投票来支持将团体声明添加到b2c发行的令牌中： 使用Azure AD B2C在声明中获取用户成员资格组