.NET Core Web API集成Azure B2C时读取Identity Claims返回Null问题

我之前在做Azure B2C集成的时候也踩过类似的坑——明明调试堆栈里能看到Claims值，代码里读取却返回Null，结合你的情况，大概率是以下几个环节没处理到位，给你逐一梳理排查方向：

• Claims映射配置缺失
  Azure B2C返回的Claims类型很多是带命名空间的长格式（比如邮箱对应的是http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress），而我们习惯用.NET标准的ClaimTypes.Email这类短名称。你需要在认证配置里添加映射，把Azure B2C的Claims对应到.NET的标准类型：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(options =>
    {
        Configuration.Bind("AzureAdB2C", options);
        // 配置默认的名称和角色Claim类型
        options.TokenValidationParameters.NameClaimType = "name";
        options.TokenValidationParameters.RoleClaimType = "role";
        // 自定义映射你需要的Claims
        options.ClaimsMapping.Add("email", ClaimTypes.Email);
        options.ClaimsMapping.Add("given_name", ClaimTypes.GivenName);
    }, options => { Configuration.Bind("AzureAdB2C", options); });

配置完成后，再用User.FindFirst(ClaimTypes.Email)就能正常读到值了。

• 检查TokenValidationParameters设置
  如果你的TokenValidationParameters里禁用了默认的ClaimType映射，或者没有指定正确的Claim类型，也会导致Claims无法被正确解析到Identity中。要避免设置TokenValidationParameters.ClaimTypeMap = new Dictionary<string, string>();这类清空映射的代码。

• 先遍历所有Claims确认实际类型
  如果映射配置后还是不行，先把所有Claims列出来看看真实的Type是什么，避免用错名称：

var allClaims = User.Claims.Select(c => $"{c.Type}: {c.Value}").ToList();
// 可以输出到日志或者调试窗口查看具体内容

通过这个方式你能准确知道要读取的Claim对应的Type字符串，直接用这个Type去查找即可。

• 区分Access Token和ID Token的差异
  如果你的API用的是Access Token，要注意Azure B2C默认不会把用户信息（比如邮箱、姓名）都放进Access Token里。你需要在Azure B2C的应用注册里给API添加对应的权限，或者在用户流/自定义策略中配置，把需要的Claims加入到Access Token的输出中。如果是用ID Token的话，这类信息会更全，但API场景更推荐使用Access Token。

• 确认中间件顺序正确
  在Program.cs里，一定要保证认证中间件在授权中间件之前注册：

app.UseAuthentication();
app.UseAuthorization();

如果顺序反了，Identity还没被初始化就去读取Claims，自然会返回Null。

内容的提问来源于stack exchange，提问作者K.Z