Azure AD B2C中如何检查用户组归属？（Graph v5版本问题）

你的代码问题核心是Microsoft Graph V5版本的API变更——TokenCredentialAuthProvider在V5中已被移除，同时请求构建、成员检查的API逻辑也有调整。结合你已获取AccessToken的场景，以下是修正后的完整实现：

核心修正点 #

• 用自定义DelegatingHandler直接注入已有AccessToken，替代废弃的认证提供者
• 适配Graph V5的fluent请求API（移除旧的.Request()链式调用）
• 使用参数化Filter避免注入风险
• 用V5原生的CheckMemberGroups方法简化成员关系检查

修正后的代码 #

using Microsoft.Graph;
using Microsoft.Graph.Models;
using System.Collections.Generic;
using System.Net.Http;
using System.Net.Http.Headers;
using System.Threading;
using System.Threading.Tasks;

public async Task<bool> CheckUserGroupMembership(string userObjectId, string groupName, string accessToken)
{
    // 1. 创建自定义Handler注入AccessToken
    var authHandler = new AuthenticationHandler(accessToken);
    var httpClient = new HttpClient(authHandler);

    // 2. 初始化GraphServiceClient
    var graphClient = new GraphServiceClient(httpClient);

    // 3. 根据组名查询组ID（参数化Filter防注入）
    var groupResponse = await graphClient.Groups.GetAsync(requestConfiguration =>
    {
        requestConfiguration.QueryParameters.Filter = $"displayName eq '{groupName}'";
        requestConfiguration.QueryParameters.Select = new[] { "id" };
    });

    if (groupResponse.Value == null || groupResponse.Value.Count == 0)
        return false;
    var groupId = groupResponse.Value[0].Id;

    // 4. 检查指定ObjectID的用户是否属于该组
    var checkMemberRequest = new CheckMemberGroupsPostRequestBody
    {
        GroupIds = new List<string> { groupId }
    };

    var membershipResult = await graphClient.Users[userObjectId].CheckMemberGroups.PostAsync(checkMemberRequest);

    // 返回是否包含目标组ID
    return membershipResult.Value != null && membershipResult.Value.Contains(groupId);
}

// 自定义认证Handler，用于注入已有的AccessToken
public class AuthenticationHandler : DelegatingHandler
{
    private readonly string _accessToken;

    public AuthenticationHandler(string accessToken)
    {
        _accessToken = accessToken;
        InnerHandler = new HttpClientHandler();
    }

    protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", _accessToken);
        return await base.SendAsync(request, cancellationToken);
    }
}

额外说明 #

1. 你提到已获取用户ObjectID，代码直接用userObjectId作为参数；若仍需通过用户名查询用户ID，可保留原逻辑并适配V5的graphClient.Users.GetAsync()API格式
2. 确保你的AccessToken拥有以下Graph权限：
   • User.Read.All（读取用户信息）
   • Group.Read.All（读取组信息）
3. 建议添加异常捕获逻辑，处理网络错误、权限不足等场景

内容的提问来源于stack exchange，提问作者toparge nz