.NET 4.8 ASP.NET集成Azure AD后Claims不一致无法获取用户邮箱

以下是针对该问题的排查和解决步骤：

1. 确认OpenID Connect的Scopes配置 #

Azure AD默认不会返回所有用户Claims，需显式请求包含邮箱的Scopes。在Startup.cs的OpenID Connect配置中，确保添加email和profile Scope：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    ClientId = "你的ClientId",
    Authority = "https://login.microsoftonline.com/你的租户ID",
    RedirectUri = "你的回调地址",
    // 必须包含以下Scope才能获取邮箱等用户信息
    Scope = "openid email profile",
    ResponseType = "code id_token",
    // 其他配置...
});

2. 在AuthorizationCodeReceived事件中持久化需要的Claims #

默认情况下，OpenID Connect中间件不会将所有获取到的Claims保存到认证Cookie中。你需要在AuthorizationCodeReceived事件里，把需要的邮箱Claim添加到AuthenticationTicket的Identity中，确保后续请求能拿到：

context.AuthorizationCodeReceived += async (sender, e) =>
{
    // 从ID Token中解析Claims
    var jwtHandler = new JwtSecurityTokenHandler();
    var idToken = jwtHandler.ReadJwtToken(e.ProtocolMessage.IdToken);
    
    // 获取邮箱（优先取email字段，没有则用preferred_username）
    var userEmail = idToken.Claims.FirstOrDefault(c => c.Type == "email")?.Value 
                    ?? idToken.Claims.FirstOrDefault(c => c.Type == "preferred_username")?.Value;

    // 更新当前认证Identity
    var claimsIdentity = e.AuthenticationTicket.Identity as ClaimsIdentity;
    if (claimsIdentity != null && !string.IsNullOrEmpty(userEmail))
    {
        // 添加标准邮箱Claim类型，方便后续控制器中通过ClaimTypes.Email获取
        claimsIdentity.AddClaim(new Claim(ClaimTypes.Email, userEmail));
    }

    // 重新设置认证票证，确保修改后的Claims被持久化
    e.AuthenticationTicket = new AuthenticationTicket(claimsIdentity, e.AuthenticationTicket.Properties);
};

3. 检查Cookie认证的Claims过滤规则 #

.NET 4.8的CookieAuthentication中间件可能默认过滤部分非标准Claim类型。可以在Cookie认证配置中关闭默认的Claim类型映射，或者确保使用标准Claim类型：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = CookieAuthenticationDefaults.AuthenticationType,
    // 禁用默认Claim类型映射，保留原始Claim
    ClaimTypeMap = new Dictionary<string, string>(),
    // 或者将Azure AD的email映射到标准Claim类型
    // ClaimTypeMap = new Dictionary<string, string>
    // {
    //     { "email", ClaimTypes.Email }
    // }
});

4. 排查自定义ClaimsPrincipal修改逻辑 #

检查项目中是否存在自定义的用户Claims处理逻辑，比如Global.asax的PostAuthenticateRequest事件中是否重写了HttpContext.User，导致原有Claims被覆盖。如果有，确保修改时保留原始的认证Claims。

5. 验证控制器中Claims的获取方式 #

在控制器中，通过标准Claim类型获取邮箱：

var userEmail = User.Claims.FirstOrDefault(c => c.Type == ClaimTypes.Email)?.Value;
// 或者直接取Azure AD返回的原始Claim类型
// var userEmail = User.Claims.FirstOrDefault(c => c.Type == "email")?.Value;

内容的提问来源于stack exchange，提问作者Guliver