使用ADAL实现Azure AD SSO后，仅用UserInfo.UniqueId是否需验证？

你的场景与代码 #

你目前用ADAL实现Azure AD单点登录的核心代码如下：

AuthenticationContext ac = new AuthenticationContext(MicrosoftAuthBaseURL);
ClientCredential clcred = new ClientCredential(MicrosoftAppId, MicrosoftAppSecret);
AuthenticationResult acResult = ac.AcquireTokenByAuthorizationCodeAsync(code, new Uri(RedirectURI), clcred).Result;
SignInUser(acResult.UserInfo.UniqueId);

你通过添加scope=openid获取到了id_token，但仅使用其中的UniqueId字段做数据库查询，不确定是否还需要验证令牌，也想知道ADAL有没有内置方法可以避免手动验证的麻烦。

核心结论：必须验证，但ADAL已经帮你搞定了大部分！ #

先给你吃个定心丸：当你调用AcquireTokenByAuthorizationCodeAsync的时候，ADAL已经自动完成了对返回的id_token和access_token的核心验证步骤，不需要你手动去做。不过还是得搞清楚背后的逻辑，避免踩坑。

1. 为什么只用UniqueId也必须验证？

• 你拿到的UniqueId是从id_token里解析出来的，如果这个id_token是伪造或篡改过的，UniqueId就可能是恶意构造的——比如攻击者伪造一个id_token，把UniqueId改成管理员的ID，就能直接冒充管理员登录，这可是严重的身份冒充风险。
• 另外，哪怕id_token是真的，也得确保它是发给你的应用的（防止令牌被截获后用到其他应用）、在有效期内、由可信的Azure AD颁发，这些都是验证的核心目的。

2. ADAL自动帮你做了哪些验证？

当你成功拿到AuthenticationResult时，ADAL已经默认完成了以下关键验证：

• 验证id_token的签名有效性（确保令牌没被篡改，确实是Azure AD签发的）
• 验证令牌的aud（受众）字段是否匹配你的MicrosoftAppId（确保令牌是给你的应用的）
• 验证令牌的exp（过期时间）和nbf（生效时间）是否在合法有效期内
• 验证签发者iss是否是可信的Azure AD实例（比如https://login.microsoftonline.com/{tenantId}/v2.0这类合法地址）

这些验证是默认开启的，除非你特意在AuthenticationContext里禁用了验证（绝对不建议这么做）。所以你拿到的acResult.UserInfo.UniqueId已经是经过验证的可信值了。

3. 额外需要注意的点

• 如果你用的是ADAL旧版本，建议升级到最新稳定版，确保验证逻辑同步Azure AD的最新规范（比如签名算法、令牌格式的更新）
• 绝对不要手动解析id_token字符串，一定要通过acResult.UserInfo或ADAL提供的其他属性获取信息——手动解析容易出错，还会绕过ADAL的验证逻辑
• 如果有业务层面的额外验证需求（比如限制只能特定租户的用户登录），可以在拿到AuthenticationResult后，额外检查acResult.TenantId是否符合预期，这类业务逻辑ADAL不会自动处理

4. 要不要手动验证令牌？

完全不需要！ADAL已经封装了所有必要的验证逻辑，手动验证不仅容易出错，还可能因为不了解Azure AD的令牌规范（比如签名密钥的轮换、算法要求）导致验证失败或出现安全漏洞。

内容的提问来源于stack exchange，提问作者Demi-Gods and Semi-Devils