JWT令牌与Azure AD B2C安全：存储用户角色及租户ID到令牌是否为不良实践？

这不仅不是不良实践，反而是Azure AD B2C认证体系里推荐的常规做法，只要遵循几个关键原则就没问题：

1. 核心合理性 #

• 角色信息：Azure AD B2C本身支持通过内置角色声明或自定义属性存储用户角色，把角色直接放进ID令牌或访问令牌里，能让前端和API快速获取权限信息，省去额外的数据库查询，提升整体性能。
• 组织ID/租户ID：如果你的系统是多租户架构，将组织ID作为声明加入令牌完全合理，API可以通过这个声明快速识别用户所属租户，直接完成数据隔离或权限校验。

2. 需要注意的细节 #

• 令牌体积控制：JWT令牌不能过大，否则会影响请求性能。如果角色数量过多（比如超过10个），或者组织相关附加信息太复杂，建议只在令牌里保留核心标识，详细信息通过API按需获取。
• 声明安全性：确保这些声明是由B2C签名的，避免前端或第三方篡改。API端必须严格验证令牌的签名和有效性，不能直接信任令牌内容。
• 自定义属性配置：如果用自定义属性存储组织ID或角色，要在B2C的用户流/自定义策略里正确配置，确保这些属性被包含在令牌输出中。比如在自定义策略的RelyingParty部分添加对应的OutputClaim。
• 权限最小化：只在令牌里加入当前场景必需的信息，比如前端只需要显示角色名称，就没必要把角色的所有权限细节都塞进令牌。

3. 替代方案的对比 #

如果不把这些信息放进令牌，你需要在前端或API每次请求时额外调用B2C的用户信息端点，或者自己的数据库查询，这会增加网络开销和延迟，反而不如直接在令牌里包含这些常用信息高效。

总结：只要控制好令牌大小、确保声明安全，将角色和组织ID加入B2C令牌是高效且合规的做法。

内容的提问来源于stack exchange，提问作者Niek