Azure AD返回声明格式不符预期，如何切换声明对象版本？

问题本质 #

你实际拿到的是序列化后的ClaimsIdentity对象（版本1格式），其中claims字段被加密，和你期望的直接展示Claims集合的格式差异，核心原因不是Azure AD端点版本的声明结构差异，而是本地身份验证中间件的配置或数据处理方式导致。

具体解决步骤 #

1. 禁用Claims加密（ASP.NET场景） #

ASP.NET默认会加密Cookie中的Claims数据，导致序列化后看到加密值。可以在Program.cs或Startup.cs中修改Cookie认证配置：

services.ConfigureApplicationCookie(options =>
{
    // 禁用Claims加密，使用自定义数据保护器（确保和应用匹配）
    var dataProtectionProvider = DataProtectionProvider.Create("YourApplicationUniqueName");
    options.TicketDataFormat = new TicketDataFormat(
        dataProtectionProvider.CreateProtector(
            "Microsoft.AspNetCore.Authentication.Cookies.CookieAuthenticationMiddleware",
            "Cookies",
            "v2"));
});

2. 强制使用Azure AD v2端点 #

在Azure门户的应用注册中调整配置：

• 进入应用注册 -> 清单，找到accessTokenAcceptedVersion字段，设置值为2，保存。
• 进入应用注册 -> 认证 -> 平台配置，确认授权/令牌端点是v2格式（例如https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/authorize）。

3. 正确提取并序列化Claims集合 #

不要直接序列化整个ClaimsIdentity对象，而是提取Claims集合单独处理：

// 从当前用户身份中提取Claims并序列化为期望格式
var formattedClaims = User.Claims.Select(claim => new
{
    claim.Issuer,
    claim.OriginalIssuer,
    Properties = claim.Properties,
    claim.Type,
    claim.Value,
    claim.ValueType
});

var jsonResult = System.Text.Json.JsonSerializer.Serialize(formattedClaims, new System.Text.Json.JsonSerializerOptions { WriteIndented = true });

这段代码会生成你期望的包含完整Claims列表的JSON格式。

4. 升级身份验证中间件版本 #

确保使用的是ASP.NET Core 6+版本，旧版本的ClaimsIdentity序列化逻辑可能存在差异，升级到较新版本可以避免此类格式问题。

内容的提问来源于stack exchange，提问作者Hoodlum