Xamarin.Forms中IPublicClientApplication返回重复UserId问题求助

核心原因 #

你遇到的问题根源在于：Azure Mobile Services使用WindowsAzureActiveDirectory登录时，默认从令牌的nameidentifier声明生成MobileServiceUser.UserId。如果你的Azure AD租户配置了基于姓名的用户匹配规则，或者仅传入访问令牌（access_token）而非ID令牌（id_token），服务无法提取用户的全局唯一标识，就会导致不同身份提供商的同名用户得到重复的UserId。

另外，你当前仅传递access_token给LoginAsync，而access_token主要用于资源访问，不包含完整的用户身份标识信息，这会迫使服务 fallback 到姓名这类非唯一字段生成UserId。

解决方案 #

1. 获取包含完整身份信息的ID令牌 #

调整AcquireTokenInteractive的调用，请求标准OIDC范围（openid、profile），确保获取到包含用户唯一标识的ID令牌：

var result = await AuthenticationClient.AcquireTokenInteractive(new[] { "openid", "profile", "https://***.onmicrosoft.com/profile.read/profile.read" })
    .ExecuteAsync();

登录时同时传入ID令牌和访问令牌：

JObject objToken = new JObject();
objToken.Add("id_token", result.IdToken); // 传入ID令牌用于身份识别
objToken.Add("access_token", result.AccessToken); // 保留访问令牌用于资源访问
MobileServiceUser user = await App.syncMgr.CurrentClient.LoginAsync(MobileServiceAuthenticationProvider.WindowsAzureActiveDirectory, objToken);

2. 使用令牌中的全局唯一标识作为主键 #

不要依赖MobileServiceUser.UserId，直接从ID令牌中提取sub（用户唯一标识符）或oid（Azure AD对象ID）作为用户表主键，这两个值对每个用户都是全局唯一的，与姓名无关：

// 解析ID令牌获取唯一标识
var handler = new JwtSecurityTokenHandler();
var jwtToken = handler.ReadJwtToken(result.IdToken);
string uniqueUserId = jwtToken.Claims.First(c => c.Type == "sub").Value; // 或选择"oid"

// 将uniqueUserId作为用户表主键存入数据库

3. 调整Azure AD的用户匹配策略 #

登录Azure门户进入你的AD租户，检查外部身份提供商的用户匹配规则：

• 确保用户匹配基于提供商的唯一用户ID（比如Google的sub、Microsoft的oid），而非姓名或邮箱。
• 禁用“自动合并同名用户”的选项，确保不同身份提供商的用户即使姓名相同，也被视为独立账户。

内容的提问来源于stack exchange，提问作者sidsud