如何在Azure AD认证的PowerShell Core Azure Function中获取用户身份

我明白你的顾虑——依赖请求头确实存在被篡改的风险，而直接访问$Request.Context.User返回null是因为PowerShell的HTTP触发绑定和C#的实现有所不同。下面是安全获取用户身份的正确方式：

核心解决方案：通过ClaimsPrincipal参数注入 #

Azure Functions runtime会自动为经过Azure AD认证的请求注入验证后的ClaimsPrincipal对象，这个对象是从合法的JWT令牌解析而来，完全避免了请求头篡改的风险。你只需要在param块中添加这个参数即可：

修改后的函数代码 #

using namespace System.Net
using namespace System.Security.Claims

# Input bindings are passed in via param block.
param(
    $Request, 
    $TriggerMetadata,
    [ClaimsPrincipal]$ClaimsPrincipal
)

# 从ClaimsPrincipal中提取安全的用户信息
$userInfo = @{
    # 用户唯一ID（Azure AD中的Object ID）
    ObjectId = $ClaimsPrincipal.FindFirstValue("http://schemas.microsoft.com/identity/claims/objectidentifier")
    # 用户名/UPN
    UserName = $ClaimsPrincipal.Identity.Name
    # 用户邮箱（如果令牌中包含）
    Email = $ClaimsPrincipal.FindFirstValue("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress")
    # 所有声明信息（可用于调试或获取更多属性）
    AllClaims = $ClaimsPrincipal.Claims | Select-Object Type, Value
}

$body = @{
    AuthenticatedUser = $userInfo
}

# 返回响应
Push-OutputBinding -Name Response -Value ([HttpResponseContext]@{ 
    StatusCode = [HttpStatusCode]::OK 
    Body = $body 
})

为什么这个方式安全？ #

• 这个ClaimsPrincipal是Azure Functions runtime在验证Azure AD颁发的JWT令牌有效性之后生成的，只有合法的、未被篡改的令牌才能通过认证流程，runtime才会注入这个对象。
• 完全绕过了直接读取请求头的风险，所有身份信息都来自经过验证的令牌解析结果。

补充说明 #

• 你之前尝试的$Request.Context.User在PowerShell的HTTP绑定中确实不会被填充，这是PowerShell与C#绑定的设计差异，所以不要依赖这个属性。
• 如果需要更底层的令牌信息，你也可以读取$Request.Headers['Authorization']头中的JWT令牌，然后使用System.IdentityModel.Tokens.Jwt库自行解析，但这种方式需要额外的代码来验证令牌，远不如直接使用ClaimsPrincipal参数简便安全。

内容的提问来源于stack exchange，提问作者bit