在WVD环境下，.NET应用能否通过C#获取Azure AD登录用户或令牌？

这是个很实用的问题！在Windows Virtual Desktop（WVD）环境下，你的.NET应用完全可以读取当前已认证的用户信息，甚至获取对应的Azure AD令牌，我来给你详细讲讲具体的实现思路和方法：

首先，System.Security.Principal.WindowsIdentity.GetCurrent()在多数WVD场景下依然有效——当用户通过Azure AD登录WVD会话后，Windows系统会创建对应的本地用户上下文，这个方法可以获取到当前运行应用的Windows身份（通常是用户的UPN，比如user@yourtenant.com）。

不过要注意：

• 如果你的应用是在WVD会话中以交互式方式启动的，这个方法返回的就是登录WVD的Azure AD用户
• 如果应用是通过服务账户启动的，那返回的会是服务身份，而非用户身份

如果你的需求是获取用户的Azure AD令牌（而非仅Windows身份），可以使用**Microsoft.Identity.Client（MSAL）**库，通过集成Windows身份验证（IWA）自动获取令牌，无需用户再次输入凭据。

示例代码： #

using Microsoft.Identity.Client;
using System;
using System.Threading.Tasks;

class Program
{
    static async Task Main(string[] args)
    {
        // 替换为你的Azure AD应用客户端ID和租户ID
        string clientId = "your-app-client-id";
        string tenantId = "your-tenant-id";
        // 替换为你需要访问的API权限范围
        string[] scopes = new[] { "https://graph.microsoft.com/User.Read" };

        var pca = PublicClientApplicationBuilder
            .Create(clientId)
            .WithTenantId(tenantId)
            .WithAuthority(AzureCloudInstance.AzurePublic, tenantId)
            .Build();

        try
        {
            // 通过集成Windows身份验证获取令牌
            var authResult = await pca.AcquireTokenByIntegratedWindowsAuth(scopes)
                .ExecuteAsync();

            Console.WriteLine($"当前认证用户: {authResult.Account.Username}");
            Console.WriteLine($"Azure AD访问令牌: {authResult.AccessToken}");
        }
        catch (MsalException ex)
        {
            Console.WriteLine($"获取令牌失败: {ex.Message}");
        }
    }
}

如果想直接获取Azure AD用户的声明（Claims）信息，除了解析MSAL返回的令牌，还可以通过MSAL的Account对象直接读取用户的Claims：

// 承接上面的authResult
var userClaims = authResult.Account.GetClaims();
foreach (var claim in userClaims)
{
    Console.WriteLine($"{claim.Type}: {claim.Value}");
}

在.NET Core/.NET 5+的桌面应用中，也可以通过System.Security.Claims.ClaimsPrincipal.Current获取当前用户的Claims主体，但前提是应用已经通过MSAL完成了身份认证。

• 确保你的Azure AD应用已启用集成Windows身份验证（IWA），并在API权限中添加了所需的权限（比如Microsoft Graph的User.Read）
• 如果WVD主机是Azure AD加入的，WindowsIdentity.GetCurrent()返回的用户UPN会和Azure AD中的身份完全一致
• 对于后台服务类应用，建议使用**托管身份（Managed Identity）**而非用户身份，但交互式应用优先使用上述MSAL集成方式

内容的提问来源于stack exchange，提问作者csurapid