Azure AD缺失自定义声明处理：VB.NET WebForms应用异常求助

安全阿岳

2026-8-16

问题描述

我有一个遗留VB.NET WebForms应用，使用Azure AD（面向员工）和Azure AD B2C（面向客户）进行身份认证。B2C会返回extension_UserTypes等自定义声明，但Azure AD不会返回。以下是获取声明的代码：

If Request.IsAuthenticated Then
    Dim claims = ClaimsPrincipal.Current.Claims

    Dim name As String = claims?.FirstOrDefault(Function(x) x.Type.Equals("name", StringComparison.OrdinalIgnoreCase))?.Value
    Dim userName As String = claims?.FirstOrDefault(Function(x) x.Type.Equals("emails", StringComparison.OrdinalIgnoreCase))?.Value
    Dim userTypes As String = claims?.FirstOrDefault(Function(x) x.Type.Equals("extension_UserTypes", StringComparison.OrdinalIgnoreCase))?.Value

客户登录时可成功获取全部三个声明，但员工登录时仅能获取前两个，访问第三个自定义声明时抛出异常：

Value cannot be null.
Parameter name: username
at System.Web.Util.SecUtility.CheckParameter(String& param, Boolean checkForNull, Boolean checkIfEmpty, Boolean checkForCommas, Int32 maxSize, String paramName)
at System.Web.Security.SqlRoleProvider.GetRolesForUser(String username)
at System.Web.Security.RolePrincipal.GetRoles()
at System.Web.Security.RoleClaimProvider.<get_Claims>d__4.MoveNext()
at System.Security.Claims.ClaimsIdentity.<get_Claims>d__51.MoveNext()
at System.Security.Claims.ClaimsPrincipal.<get_Claims>d__37.MoveNext()
at System.Linq.SystemCore_EnumerableDebugView`1.get_Items()

遍历claims集合时也会触发相同异常。尝试以下代码检查自定义声明是否存在仍报错：

Dim exists = claims.Any(Function(c) c.Type = "extension_UserTypes")

解决方案

这个异常的根源不是自定义声明本身，而是SqlRoleProvider在尝试获取用户角色时，无法拿到有效的非空用户名参数。当员工通过Azure AD登录后，应用的RolePrincipal依赖SqlRoleProvider，但当前用户标识中缺少该Provider需要的用户名声明，导致遍历Claims集合时触发RoleClaimProvider的Claims获取逻辑，进而抛出空参数异常。

解决步骤

修复RoleProvider的用户名问题
- 检查Web.config中<roleManager>节点的defaultProvider是否为SqlRoleProvider，同时确认其连接字符串配置正确。
- 确保Azure AD返回的声明中包含SqlRoleProvider需要的用户名声明（通常是http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier或name），且值不为空。如果Azure AD返回的声明类型不符，可在Web.config的<system.identityModel>或OWIN配置中映射到Provider期望的类型。
- 若员工用户不需要角色管理，可直接禁用RoleProvider：
```
<roleManager enabled="false" defaultProvider="SqlRoleProvider">
    <providers>
        <clear />
        <add name="SqlRoleProvider" type="System.Web.Security.SqlRoleProvider" connectionStringName="YourConnString" applicationName="YourApp" />
    </providers>
</roleManager>
```

安全检查自定义声明
修复RoleProvider问题后，即可正常遍历Claims集合。也可以直接操作ClaimsIdentity的Claims集合，避免触发RoleClaimProvider的逻辑：

Dim userTypes As String = Nothing
If Request.IsAuthenticated Then
    Dim identity = TryCast(ClaimsPrincipal.Current.Identity, ClaimsIdentity)
    userTypes = identity?.Claims?.FirstOrDefault(Function(x) x.Type.Equals("extension_UserTypes", StringComparison.OrdinalIgnoreCase))?.Value
End If

临时 workaround：跳过角色声明
若无法修改RoleProvider配置，可过滤掉可能触发异常的角色声明：

If Request.IsAuthenticated Then
    Dim validClaims = ClaimsPrincipal.Current.Claims.Where(Function(c) Not c.Type.StartsWith("http://schemas.microsoft.com/ws/2008/06/identity/claims/role"))
    Dim userExists = validClaims?.Any(Function(c) c.Type.Equals("extension_UserTypes", StringComparison.OrdinalIgnoreCase))
    Dim userTypes = validClaims?.FirstOrDefault(Function(x) x.Type.Equals("extension_UserTypes", StringComparison.OrdinalIgnoreCase))?.Value
End If

此方法仅为临时方案，建议优先修复RoleProvider的配置问题。

内容的提问来源于stack exchange，提问作者David Shochet

Azure AD缺失自定义声明处理：VB.NET WebForms应用异常求助

解决步骤 #

解决步骤