Azure AD在SCIM Patch请求中发送空值的技术问题求助

从Azure AD映射源头避免空值发送 #

调整CustomAppsSO的属性映射表达式，加入条件判断，仅当appRoleAssignments存在有效数据时才生成对应值，避免无变更场景下发送空对象：

If(IsNullOrEmpty([appRoleAssignments]), null, AppRoleAssignmentsComplex([appRoleAssignments]))

这样当用户角色未发生变更时，Azure AD不会在Patch请求中包含Roles字段，从根源解决空值问题。

后端UnboundID SCIM处理兜底优化 #

如果Azure AD端配置仍存在边缘场景导致空值请求，可在后端处理Patch请求时过滤无效操作：
遍历PatchRequest中的操作，移除add类型下value为空对象或null的条目，示例Java代码如下：

PatchRequest patchRequest = ...; // 获取传入的Patch请求对象
List<Operation> validOps = new ArrayList<>();

for (Operation op : patchRequest.getOperations()) {
    if (Operation.Type.ADD.equals(op.getOp())) {
        Object value = op.getValue();
        // 过滤空对象或null值的操作
        if (value == null || (value instanceof Map && ((Map<?, ?>) value).isEmpty())) {
            continue;
        }
    }
    validOps.add(op);
}

// 用清理后的操作重新构建合法的Patch请求
PatchRequest cleanedRequest = new PatchRequest(
    patchRequest.getSchemas(),
    validOps,
    patchRequest.getMeta()
);

// 后续使用cleanedRequest进行业务处理

说明 #

SCIM 2.0规范明确要求Patch操作的value必须包含有效数据，空值或空对象属于非法请求。优先通过Azure AD映射配置拦截空值发送，后端兜底作为补充方案，确保接口符合规范要求。

内容的提问来源于stack exchange，提问作者Sd.dS