ASP.NET Core MVC控制器无法获取Azure AD B2C访问令牌求助

问题根源 #

GetAccessTokenForAppAsync是用于**无用户上下文的守护程序模式（客户端凭证流）**的方法，这类场景下必须使用AppIdUri/.default格式的scope。而你的场景是在已登录用户的控制器中获取代表该用户的access token，属于有用户上下文的场景，需要使用对应方法。

具体修复步骤 #

1. 替换Token获取方法
   将GetAccessTokenForAppAsync替换为GetAccessTokenForUserAsync，该方法专门用于在用户已授权的上下文下，获取访问下游API的token：

   string accessToken = await this.tokenAcquisition.GetAccessTokenForUserAsync(new[] { "https://<Domain>.<Tenant ID of the web api>/access_as_user" });
   

   注意参数需传入字符串数组形式的scope列表。

2. 验证Scope格式
   确保scope格式为{API的应用ID URI}/{权限名称}，比如你的API应用ID URI是https://contoso.b2clogin.com/contoso.onmicrosoft.com/api，权限为access_as_user，则scope应为https://contoso.b2clogin.com/contoso.onmicrosoft.com/api/access_as_user。

3. 配置文件校验
   检查appsettings.json中的Azure AD B2C配置，确保已正确注册下游API的权限：

   "AzureAdB2C": {
     "Instance": "https://<your-b2c-domain>.b2clogin.com/",
     "ClientId": "<webapp-client-id>",
     "Domain": "<your-b2c-domain>.onmicrosoft.com",
     "SignUpSignInPolicyId": "<your-signup-signin-policy>",
     "DownstreamApi": {
       "BaseUrl": "<api-base-url>",
       "Scopes": "https://<Domain>.<Tenant ID of the web api>/access_as_user"
     }
   }
   

角色菜单实现方案 #

要根据用户角色动态显示菜单，直接从当前用户的Claims集合中提取角色信息即可：

// 在控制器中获取用户角色
var userRoles = User.Claims.Where(c => c.Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/role")
                          .Select(c => c.Value)
                          .ToList();
// 传递角色数据到视图
ViewBag.UserRoles = userRoles;

在视图中通过判断角色控制菜单渲染：

@if(ViewBag.UserRoles.Contains("Admin")){
    <li><a href="/admin">管理后台</a></li>
}
@if(ViewBag.UserRoles.Contains("RegularUser")){
    <li><a href="/profile">个人中心</a></li>
}

内容的提问来源于stack exchange，提问作者spalMcc