Azure AD角色变更时无需重登获取更新AccessToken的.NET解决方案

核心问题原因 #

Azure AD默认会缓存用户的角色声明，使用Refresh Token刷新AccessToken时，不会主动重新查询用户的最新角色，而是复用之前缓存的信息，导致角色变更后令牌无法及时更新。

可行解决方案 #

1. 刷新令牌时强制重新获取角色声明 #

在使用Refresh Token请求新AccessToken时，通过claims参数强制Azure AD重新评估用户的角色，绕过缓存。请求中需包含以下参数：

claims={"access_token": {"roles": null}, "id_token": {"roles": null}}

该参数会告知Azure AD，不要使用缓存的roles声明，必须重新从目录中获取最新角色信息。

在.NET Core中，若使用Microsoft.Identity.Web库，可通过自定义TokenAcquisition逻辑添加该参数：

var tokenAcquisition = _serviceProvider.GetRequiredService<ITokenAcquisition>();
var authResult = await tokenAcquisition.GetTokenForUserAsync(
    new[] { "你的API权限范围" },
    authenticationScheme: OpenIdConnectDefaults.AuthenticationScheme,
    claims: new Dictionary<string, string>
    {
        {"access_token", "{\"roles\": null}"},
        {"id_token", "{\"roles\": null}"}
    });
// 使用authResult.AccessToken作为更新后的令牌

2. 主动检测角色变更并触发刷新 #

定期调用Microsoft Graph API（GET /me/appRoleAssignments）获取用户当前的角色，与本地缓存的角色对比。若发现差异，立即触发上述强制令牌刷新流程。

示例代码（使用Microsoft Graph SDK）：

var graphClient = _serviceProvider.GetRequiredService<GraphServiceClient>();
var currentRoles = await graphClient.Me.AppRoleAssignments.Request().GetAsync();
var cachedRoles = GetCachedRolesFromUserClaims(); // 从当前用户Claims中获取缓存的角色

if (!RolesMatch(currentRoles, cachedRoles))
{
    // 角色已变更，触发强制刷新
    var authResult = await tokenAcquisition.GetTokenForUserAsync(
        new[] { "你的API权限范围" },
        claims: new Dictionary<string, string>
        {
            {"access_token", "{\"roles\": null}"},
            {"id_token", "{\"roles\": null}"}
        });
    // 更新本地缓存的角色
    UpdateCachedRoles(authResult.IdTokenClaims);
}

3. 配置应用会话的令牌刷新策略 #

在.NET Core认证配置中，设置合理的令牌刷新间隔，并确保刷新时携带claims参数。例如在Program.cs中：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"))
    .EnableTokenAcquisitionToCallDownstreamApi(new[] { "你的API权限范围" })
    .AddInMemoryTokenCaches();

// 配置OpenIdConnect选项，注入刷新时的参数逻辑
builder.Services.Configure<OpenIdConnectOptions>(OpenIdConnectDefaults.AuthenticationScheme, options =>
{
    options.Events.OnTokenValidated = async context =>
    {
        var tokenAcquisition = context.HttpContext.RequestServices.GetRequiredService<ITokenAcquisition>();
        // 可在此处预设后续刷新令牌时的参数规则
    };
});

注意事项 #

• 确保Azure AD应用已配置User.Read和Directory.Read.All权限，用于调用Microsoft Graph API获取用户角色分配。
• 强制刷新令牌会增加Azure AD请求量，建议仅在检测到角色变更时触发，避免频繁调用。
• 自定义角色变更后需等待几秒同步到Azure AD目录，再触发刷新操作。

内容的提问来源于stack exchange，提问作者Zafar Iqubal