.NET Web API中如何从OAuth获取邮箱Claim？

核心原因 #

默认情况下，Auth0返回的JWT Token不会包含邮箱这类额外Claim，需要在Auth0控制台配置权限/作用域，同时在API认证配置中确保Claim被正确解析映射。

具体解决步骤 #

1. 在Auth0控制台配置Token包含邮箱Claim #

• 进入Auth0管理后台，找到你的目标应用
• 切换到API权限页面，添加email或profile作用域，让Token携带邮箱信息
• 若需要强制注入，可在**规则（Rules）**中添加自定义逻辑：

function (user, context, callback) {
  const namespace = 'https://your-api-domain.com/';
  context.idToken[namespace + 'email'] = user.email;
  callback(null, user, context);
}

2. 更新.NET Web API的认证配置 #

在AddJwtBearer配置中补充Claim映射和解析逻辑：

builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
    options.Authority = $"https://{config.GetValue<string>("Auth0:Domain")}/";
    options.Audience = config.GetValue<string>("Auth0:Audience");
    
    // 配置Claim映射规则
    options.TokenValidationParameters = new TokenValidationParameters
    {
        NameClaimType = ClaimTypes.Name,
        RoleClaimType = ClaimTypes.Role,
        ValidateIssuer = true
    };

    // 通过事件解析并添加邮箱Claim到Principal
    options.Events = new JwtBearerEvents
    {
        OnTokenValidated = context =>
        {
            // 从Token中提取邮箱，兼容默认字段和自定义命名空间字段
            var email = context.Principal.FindFirst("email")?.Value 
                        ?? context.Principal.FindFirst("https://your-api-domain.com/email")?.Value;
            
            if (!string.IsNullOrEmpty(email))
            {
                var emailClaim = new Claim(ClaimTypes.Email, email);
                var identity = new ClaimsIdentity(new[] { emailClaim });
                context.Principal.AddIdentity(identity);
            }
            return Task.CompletedTask;
        }
    };
});

3. 在API接口中获取邮箱Claim #

配置完成后，即可通过以下方式获取用户邮箱：

var email = claimsPrincipal.FindFirst(ClaimTypes.Email)?.Value;
// 或直接读取Token原始字段
var email = claimsPrincipal.FindFirst("email")?.Value;

注意事项 #

• 确保Auth0应用的Allowed Callback URLs和Allowed Web Origins配置正确，避免Token获取失败
• 自定义命名空间需符合URL格式要求，Auth0对自定义Claim的命名空间有规范限制

内容的提问来源于stack exchange，提问作者Calibre2010