Azure AD B2C：外部IdP的JWT单字符串组声明能否转单元素stringCollection？

核心思路是绕开JWT解析阶段的强类型校验，先将格式不统一的Groups值以弱类型方式接收，再通过声明转换规范化为业务侧需要的字符串集合格式，完全兼容单值字符串、多值数组两种返回场景。

具体配置调整步骤 #

• 调整Claim定义
  保留业务逻辑正在使用的、类型为stringCollection的正式groups声明（后续RBAC校验、令牌签发的逻辑不需要做任何修改），新增一个临时的原始接收声明externalRawGroups，类型设置为string，专门用来承接外部IdP返回的格式不一致的Groups值，示例定义：

  <ClaimType Id="externalRawGroups">
      <DisplayName>Raw Groups from External IdP</DisplayName>
      <DataType>string</DataType>
      <AdminHelpText>Raw groups value received from external IdP, before type normalization</AdminHelpText>
      <UserHelpText/>
  </ClaimType>
  

• 修改外部IdP JWT技术配置文件的输出声明映射
  将原来直接映射到正式groups声明的输出配置，改为映射到新增的externalRawGroups临时声明，从根源上避免JWT解析阶段的类型不匹配报错：

  <OutputClaim ClaimTypeReferenceId="externalRawGroups" PartnerClaimType="groups" />
  

  这一步的兼容性保障来自B2C JWT解析器的内置逻辑：当外部IdP返回多组数组格式时，解析器会自动用逗号将数组元素拼接为字符串存入externalRawGroups；当返回单组纯字符串格式时，会直接将单值存入该声明，两种场景都能正常完成接收，不会触发异常。
• 新增声明转换逻辑，将原始值规范化为标准字符串集合
  配置一个StringSplit类型的声明转换，将externalRawGroups存储的逗号分隔字符串拆分为集合，直接赋值给正式的groups声明：

  <ClaimsTransformation Id="ConvertRawGroupsToGroupCollection" TransformationMethod="StringSplit">
      <InputClaims>
          <InputClaim ClaimTypeReferenceId="externalRawGroups" TransformationClaimType="inputClaim" />
      </InputClaims>
      <InputParameters>
          <InputParameter Id="delimiter" DataType="string" Value="," />
      </InputParameters>
      <OutputClaims>
          <OutputClaim ClaimTypeReferenceId="groups" TransformationClaimType="outputClaim" />
      </OutputClaims>
  </ClaimsTransformation>
  

  将该转换挂在外部IdP技术配置文件的输出声明转换列表中，在完成原始值接收后自动执行：

  <TechnicalProfile Id="ExternalIdP-JWT-Profile">
      <!-- 原有JWT签发者、密钥配置等内容保持不变 -->
      <OutputClaimsTransformations>
          <OutputClaimsTransformation ReferenceId="ConvertRawGroupsToGroupCollection" />
      </OutputClaimsTransformations>
  </TechnicalProfile>
  

  执行完成后，groups声明就是标准的stringCollection类型：单组场景下是包含1个元素的集合，多组场景下是包含所有组名的集合，完全匹配原有业务逻辑的预期。
• 补充边界场景适配
  如果存在外部IdP不返回groups声明的情况，可以再加一个空值默认填充的声明转换，避免拆分时空引用报错：

  <ClaimsTransformation Id="SetDefaultForEmptyRawGroups" TransformationMethod="DefaultIfClaimsPrincipalNullOrEmpty">
      <InputClaims>
          <InputClaim ClaimTypeReferenceId="externalRawGroups" TransformationClaimType="claim" />
      </InputClaims>
      <InputParameters>
          <InputParameter Id="defaultValue" DataType="string" Value="" />
      </InputParameters>
      <OutputClaims>
          <OutputClaim ClaimTypeReferenceId="externalRawGroups" TransformationClaimType="outputClaim" />
      </OutputClaims>
  </ClaimsTransformation>
  

  将该转换放在ConvertRawGroupsToGroupCollection之前执行即可。

注意事项 #

• 整个适配过程不需要修改原有业务对groups声明的使用逻辑，正式声明的类型、用途完全保持不变，仅调整外部IdP接入层的接收和转换链路
• 如果客户IdP的组名本身包含逗号，需要和对方确认实际的数组拼接分隔符，调整StringSplit转换的分隔符参数即可适配，常规企业组名不会包含逗号，一般不需要特殊调整

内容的提问来源于stack exchange，提问作者Daniel Krasnove