Azure Entra ID客户端凭证流：如何向访问令牌添加自定义数据？

不行，你没法通过在客户端凭证流的请求体里直接传入自定义参数（比如myCustomValue: "whatever"）来让生成的访问令牌包含对应的自定义声明。

原因很简单：客户端凭证流是基于应用身份而非用户身份的认证流程，Azure Entra ID生成的令牌里的声明都是预先定义好的，或者通过服务主体的配置来添加，不支持在请求时动态传入自定义数据并嵌入令牌。

如果你需要给客户端凭证流生成的令牌添加自定义声明，有两种可行方案：

• 添加静态自定义声明：在Azure门户的Entra ID中找到对应的企业应用（也就是你的服务主体），进入「令牌配置」页面，点击「添加可选声明」或者「添加自定义声明」，设置固定的键值对，这样后续生成的所有客户端凭证令牌都会带上这个声明。
• 使用应用扩展属性：如果需要的是和应用相关的动态值（但不是请求时临时传入的），可以给服务主体添加扩展属性，然后在令牌配置里映射这个属性作为声明。不过这种属性也是预先配置的，没法在每次请求时动态修改。

另外要注意：客户端凭证流的请求体只接受Azure AD规定的参数（grant_type、client_id、client_secret、scope等），任何额外的自定义参数都会被忽略，不会对令牌内容产生影响。

内容的提问来源于stack exchange，提问作者Lubos