React应用集成Microsoft SSO后，如何从自定义数据库获取用户角色？

你的方案完全可行 #

在setSession函数内调用后端API从自定义数据库拉取用户细粒度角色是合理且常用的实现方式，具体步骤可以参考：

• 用户首次登录成功后，通过acquireTokenSilent获取Azure AD返回的令牌，提取用户唯一标识（比如sub字段，这是Azure AD分配给用户的全局唯一ID）
• 携带该标识调用你的后端API，从数据库查询对应用户的read:users、modify:categories这类细粒度角色
• 将获取到的角色与用户基础信息一同存储到前端状态管理工具（如Context API、Redux）中，后续页面权限控制直接从状态中读取判断即可

其他可选实现方式 #

1. 后端生成含自定义角色的JWT Token #

当Azure AD回调你的后端授权端点时，后端先验证Azure AD返回的令牌合法性，接着从数据库拉取用户的细粒度角色，生成一个包含这些角色信息的自定义JWT Token返回给前端。前端后续接口请求均使用该自定义Token，权限判断可直接解析Token中的角色字段。这种方式能减少前端一次单独的角色查询请求，且角色信息存储在Token中，安全性更高。

2. 借助Azure AD扩展属性存储角色映射 #

如果角色数量较少且不频繁变动，可以将用户ID与自定义角色的映射关系存储在Azure AD的用户扩展属性中。用户首次登录时，通过acquireTokenSilent获取包含该扩展属性的ID Token，前端解析后即可拿到角色信息。不过要注意Azure AD扩展属性存在长度限制，且不适合存储敏感或频繁变更的角色数据。

3. 前端路由守卫+后端权限双重校验 #

无论采用哪种方式获取角色，前端的权限控制仅作为用户体验层的拦截（比如页面跳转限制、按钮显隐），所有核心业务操作（如修改分类的接口请求）必须由后端再次校验用户角色的合法性，避免前端篡改角色信息绕过权限控制。

内容的提问来源于stack exchange，提问作者dmikester1