Azure B2C返回的访问令牌长度过长的原因及影响因素有哪些？

你观测到的不同登录场景下的令牌长度差异属于正常情况，并非配置错误导致。从你提供的脱敏JWT解码结果可以验证，Facebook登录场景的令牌Payload中额外包含picture、idp两个本地邮箱登录场景没有的字段，和你描述的配置完全匹配。

令牌长度差异的核心原因 #

• 自定义声明占用：你主动添加的picture用户头像字段是长度差异的主要来源，头像URL本身字符数较多，经过JWT的Base64Url编码后会进一步增加占用长度，两个场景400余字符的差值基本都来自该字段。
• 第三方登录默认声明：使用Facebook作为外部身份提供商登录时，Azure B2C会默认追加idp字段标识登录来源，也会带来少量长度增加。

常见影响Azure B2C令牌长度的因素 #

• 声明配置：令牌Payload中携带的声明数量越多、单个声明的内容长度越大，整体令牌长度就越高，除用户属性类声明外，groups、roles等多条目权限类声明也会大幅增加令牌长度。
• 签名算法：你当前使用的RS256非对称签名属于Azure B2C推荐的安全签名方案，其签名段长度远高于HS256对称签名，是令牌基础长度的固定组成部分。
• 策略规则：自定义用户流、自定义策略中配置的声明输出规则，会直接决定令牌中携带的内容，进而影响令牌长度。

使用建议 #

当前1354字符的令牌长度远低于通用反向代理、API网关的请求头大小限制（普遍默认8KB以上），不会对API调用造成负面影响。如果后续需要压缩令牌长度，可选择不在令牌中携带头像URL，改为通过用户ID从用户信息接口查询对应头像地址即可。

内容的提问来源于stack exchange，提问作者Tarostar