社交登录场景下用户流与应用角色分配授权异常问题咨询

核心原因 #

• Azure AD默认会将用户分配的应用角色通过roles声明放入返回的ID/访问令牌中，但Azure AD B2C的用户流/自定义策略默认不会返回该声明，应用侧无法拿到角色信息自然会判定权限不足。
• 角色分配类型匹配错误：很多开发者误将B2C租户级的目录角色分配给用户，而应用侧校验的是应用注册内定义的自定义角色，二者不互通。
• 应用侧身份验证中间件的角色声明映射配置错误：原有适配Azure AD的中间件默认读取的角色声明类型和B2C返回的声明名称不匹配，导致无法正确识别用户角色。
• 自定义策略场景下未配置角色读取逻辑：若使用B2C自定义策略而非内置用户流，没有显式配置读取用户应用角色、输出声明的步骤，令牌中不会携带角色信息。

解决思路 #

1. 确认应用角色定义与分配正确
   进入B2C应用注册页的「应用角色」板块，确认你使用的自定义角色是在对应应用下创建的，允许成员类型勾选了「用户/组」；给用户分配角色时，选择的是该应用下的自定义角色，而非租户级的内置目录角色。
2. 配置策略返回角色声明
   • 内置用户流场景：进入对应用户流的「用户属性和声明」设置，在应用声明列表中勾选角色选项，保存后重新发布用户流。
   • 自定义策略场景：在声明架构中定义roles声明，在用户读取的技术配置文件中添加获取用户应用角色的逻辑，最后在依赖方策略的输出声明中添加roles声明。
3. 验证令牌内容
   登录后获取到ID/访问令牌，通过JWT解析工具确认令牌中存在roles字段，且字段值和你分配的角色名完全一致。
4. 调整应用侧身份验证配置
   原有适配Azure AD的代码默认读取的角色声明类型通常为http://schemas.microsoft.com/ws/2008/06/identity/claims/role，而B2C返回的角色声明名称为roles，需要显式指定中间件的角色声明类型为roles。以ASP.NET Core为例，配置代码如下：

   builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
       .AddMicrosoftIdentityWebApi(options =>
       {
           builder.Configuration.Bind("AzureAdB2C", options);
           options.TokenValidationParameters.RoleClaimType = "roles";
       },
       options => { builder.Configuration.Bind("AzureAdB2C", options); });
   

   其他开发框架同理，找到身份验证组件的角色声明配置项，修改为roles即可。
5. 确认控制器权限配置匹配
   检查控制器上[Authorize(Roles = "xxx")]特性中的角色名，和令牌中roles字段的取值完全匹配，大小写也需保持一致。

内容的提问来源于stack exchange，提问作者David Onyango