如何通过ClaimsPrincipal安全识别微软外部登录并实现邮箱授权？

一、安全基于邮箱授权外部用户的可行方案 #

• 首先澄清：preferred_username和email声明确实允许用户在微软账号中修改，但只要你的应用通过合法的微软OAuth2/OpenID Connect流程获取令牌，这些声明是经过微软数字签名的。用户无法伪造令牌中的声明，因为篡改会导致签名验证失败，应用端只要正确配置令牌验证（默认ASP.NET Core等框架会自动处理），就不用担心伪造问题。
• 若要进一步提升邮箱声明的可信度，可结合email_verified声明：微软会强制验证用户登录所用的邮箱（未验证邮箱无法完成登录流程），当email_verified为true时，email字段即为用户已验证的邮箱，完全可用于授权。
• 配置应用时，确保在授权请求中包含email和profile范围，这样微软IDP会返回所需声明。无需额外邮箱验证步骤，只要令牌验证通过，即可信任email+email_verified组合的有效性。

二、使用ClaimsPrincipal识别外部微软登录的最安全方式 #

• 优先使用sub声明：这是微软为每个用户分配的全局唯一、不可更改的标识，无论用户修改邮箱、用户名等信息，sub值始终保持不变，是最可靠的用户识别依据。
• 严格验证令牌核心属性：应用必须验证令牌的签名、有效期（exp）、受众（aud，需匹配你的应用Client ID）、颁发者（iss），只有验证通过的令牌才能提取声明。ASP.NET Core等框架的微软身份验证中间件会自动处理这些验证，无需手动实现。
• 区分外部/内部用户：外部微软账号的颁发者（iss）为公共租户ID对应的地址（通常是https://login.microsoftonline.com/9188040d-6c67-4c5b-b112-36a304b66dad/v2.0），而内部Azure AD用户的颁发者是你组织的租户ID，可通过此字段区分用户类型。
• 禁止用name或preferred_username做唯一标识：这些字段仅用于界面显示，可能被用户随时修改，不能用于授权逻辑或用户身份绑定。

内容的提问来源于stack exchange，提问作者Alan Samet