Azure AD B2C模拟流程JWT声明疑问及API处理方式咨询

核心结论 #

API端的正确处理逻辑是：优先检查impersonatedUser声明，存在时用该值作为当前业务操作的用户ID；不存在时，使用sub声明（而非sid）作为用户ID。

原因说明 #

• sub声明的本质：在OIDC规范里，sub（Subject）代表的是完成认证流程的主体ID，也就是模拟者的ID——因为是模拟者完成了登录认证，所以sub指向模拟者是符合流程设计的。
• sid声明的作用：sid（Session ID）是会话标识，用来跟踪会话生命周期，不是用户唯一标识，不能用来替代sub作为用户身份。
• 模拟场景的设计意图：impersonatedUser是专门用来标识被模拟对象的字段，流程设计上就是让API通过它识别实际要操作的用户，同时保留sub记录发起模拟的操作者，这对审计、权限追溯至关重要。

具体处理步骤 #

1. 先验证JWT的签名、有效期、受众（aud）等基础合法性；
2. 检查JWT中是否存在impersonatedUser声明：
   • 存在：用该值作为业务操作的用户身份；
   • 不存在：用sub声明的值作为用户身份；
3. （可选）把sub的值记录到审计日志，用于追踪操作发起者。

示例JWT解析参考 #

你提供的JWT payload部分：

{
  "exp": 1662552679,
  "nbf": 1662549079,
  "ver": "1.0",
  "iss": "https://foo.b2clogin.com/39b9ad06-299d-43da-a960-5e07d3ca9c06/v2.0/",
  "sub": "0eebe778-5934-48f6-84a6-bf921f467877", // 模拟者ID
  "aud": "64cb0c7e-678d-477c-8efc-a011c3614e58",
  "acr": "b2c_1a_impersonation",
  "nonce": "defaultNonce",
  "iat": 1662549079,
  "auth_time": 1662549079,
  "name": "unknown",
  "impersonatedUser": "a@customer.com" // 被模拟用户标识
}

这个例子里，API应该用impersonatedUser的值a@customer.com作为业务操作的用户身份，同时可记录sub的值用于审计。

内容的提问来源于stack exchange，提问作者trydis