如何在运行时为ADFS后的多身份提供商选择正确的user-name-attribute声明

刚好之前在项目里处理过类似的ADFS多身份提供商场景，给你分享几个能实现动态选择用户名声明的可行方案：

方案1：自定义OAuth2UserService（核心实现） #

Spring Security的OAuth2UserService是处理第三方用户信息的核心入口，我们可以通过重写它的loadUser方法，根据当前用户对接的身份提供商（通过registrationId识别）来动态选择对应的用户名声明。

举个具体的代码例子：

@Service
public class DynamicUsernameOAuth2UserService extends DefaultOAuth2UserService {

    // 这里可以把身份提供商和对应声明的映射硬编码，或者后续改成从配置读取
    private final Map<String, String> providerUsernameClaimMap = Map.of(
        "idp-azure", "email",
        "idp-adfs-internal", "upn",
        "idp-google", "name"
    );

    @Override
    public OAuth2User loadUser(OAuth2UserRequest userRequest) throws OAuth2AuthenticationException {
        // 先调用父类方法拿到默认的用户信息
        OAuth2User defaultUser = super.loadUser(userRequest);
        // 获取当前对接的身份提供商ID
        String registrationId = userRequest.getClientRegistration().getRegistrationId();
        
        // 根据提供商ID匹配对应的用户名声明，默认用"sub"作为兜底
        String targetClaim = providerUsernameClaimMap.getOrDefault(registrationId, "sub");
        
        // 返回自定义的OAuth2User，指定当前提供商对应的用户名声明
        return new DefaultOAuth2User(
            defaultUser.getAuthorities(),
            defaultUser.getAttributes(),
            targetClaim
        );
    }
}

然后把这个自定义服务配置到Spring Security的OAuth2登录流程里：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http, DynamicUsernameOAuth2UserService userService) throws Exception {
    http
        .oauth2Login(oauth2 -> oauth2
            .userInfoEndpoint(userInfo -> userInfo
                .userService(userService) // 替换成我们的自定义服务
            )
        );
    return http.build();
}

这个方案的优势是完全可控，能根据每个身份提供商的特性灵活调整，后续新增IDP只需要在映射里加一条记录就行。

方案2：结合配置文件动态读取声明映射 #

如果不想硬编码提供商和声明的映射，可以把配置放到application.yml里，通过@ConfigurationProperties来读取，更符合Spring的配置规范：

首先在配置文件里定义每个提供商的用户名声明：

spring:
  security:
    oauth2:
      client:
        provider:
          idp-azure:
            username-claim: email
          idp-adfs-internal:
            username-claim: upn
          idp-google:
            username-claim: name
        registration:
          idp-azure:
            provider: idp-azure
            # 其他客户端配置（client-id、client-secret等）
          idp-adfs-internal:
            provider: idp-adfs-internal
            # 其他客户端配置

然后创建一个配置类来绑定这些属性：

@ConfigurationProperties(prefix = "spring.security.oauth2.client.provider")
@Component
public class ProviderClaimProperties {
    private Map<String, ProviderConfig> providers;

    // 内部类对应每个提供商的配置
    public static class ProviderConfig {
        private String usernameClaim;

        // Getter和Setter
        public String getUsernameClaim() {
            return usernameClaim;
        }

        public void setUsernameClaim(String usernameClaim) {
            this.usernameClaim = usernameClaim;
        }
    }

    // Getter和Setter
    public Map<String, ProviderConfig> getProviders() {
        return providers;
    }

    public void setProviders(Map<String, ProviderConfig> providers) {
        this.providers = providers;
    }
}

最后修改自定义的OAuth2UserService，注入这个配置类来获取映射：

@Service
public class DynamicUsernameOAuth2UserService extends DefaultOAuth2UserService {

    private final ProviderClaimProperties claimProperties;

    // 构造方法注入配置类
    public DynamicUsernameOAuth2UserService(ProviderClaimProperties claimProperties) {
        this.claimProperties = claimProperties;
    }

    @Override
    public OAuth2User loadUser(OAuth2UserRequest userRequest) throws OAuth2AuthenticationException {
        OAuth2User defaultUser = super.loadUser(userRequest);
        String registrationId = userRequest.getClientRegistration().getRegistrationId();
        
        // 从配置中读取当前提供商对应的用户名声明
        String targetClaim = Optional.ofNullable(claimProperties.getProviders().get(registrationId))
                .map(ProviderClaimProperties.ProviderConfig::getUsernameClaim)
                .orElse("sub");
        
        return new DefaultOAuth2User(
            defaultUser.getAuthorities(),
            defaultUser.getAttributes(),
            targetClaim
        );
    }
}

这种方式更灵活，不需要修改代码就能调整不同IDP的声明配置，适合多环境部署的场景。

注意事项 #

如果你的ADFS对接的是OIDC协议，也可以继承OidcUserService来实现，逻辑和上面的OAuth2UserService完全一致，只是处理的是OIDC的ID Token信息。

内容的提问来源于stack exchange，提问作者mibollma