Okta + .NET Web API：如何获取已认证用户的邮箱与姓名（Profile Scope数据）

别担心，这其实很简单——Okta会把profile范围里的用户信息自动映射到ASP.NET的ClaimsPrincipal对象中，你直接在控制器里读取对应的Claim就行。下面是具体的步骤和代码示例：

首先确认你的认证配置已经包含了正确的Scope，这是前提——如果没请求profile和email范围，Okta不会返回这些信息。在你的Startup.Auth.cs（或者类似的认证配置文件）里，检查OpenID Connect的Scope设置：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    // 其他必要配置（比如ClientId、Authority等，你应该已经从官方指南里配置好了）
    Scope = "openid profile email", // 确保包含这三个scope
    // 其他配置...
});

在控制器中读取用户信息 #

认证通过后，当前用户的信息会被封装在User属性（继承自ApiController的控制器都能直接访问）里，你可以通过Claims来提取邮箱和姓名：

public class UserController : ApiController
{
    [Authorize] // 确保只有认证用户能访问这个接口
    public IHttpActionResult GetProfile()
    {
        // 提取邮箱（对应Okta返回的email字段）
        var userEmail = User.Claims.FirstOrDefault(c => c.Type == System.Security.Claims.ClaimTypes.Email)?.Value;
        
        // 提取全名（对应Okta返回的name字段）
        var fullName = User.Claims.FirstOrDefault(c => c.Type == System.Security.Claims.ClaimTypes.Name)?.Value;
        
        // 如果需要分开提取名和姓
        var firstName = User.Claims.FirstOrDefault(c => c.Type == System.Security.Claims.ClaimTypes.GivenName)?.Value;
        var lastName = User.Claims.FirstOrDefault(c => c.Type == System.Security.Claims.ClaimTypes.Surname)?.Value;

        return Ok(new 
        {
            Email = userEmail,
            FullName = fullName,
            FirstName = firstName,
            LastName = lastName
        });
    }
}

为什么用这些Claim类型？ #

Okta会自动把profile和email范围里的字段映射到标准的.NET Claim类型：

• Okta的email字段 → ClaimTypes.Email
• Okta的name字段 → ClaimTypes.Name
• Okta的given_name字段 → ClaimTypes.GivenName
• Okta的family_name字段 → ClaimTypes.Surname

排查问题 #

如果还是拿不到这些值，可以检查：

• Okta应用的配置里，是否允许profile和email这两个Scope（在Okta控制台的应用设置里找“Allowed Scopes”）
• 用户的Okta profile里是否已经填写了邮箱、姓名等信息
• 确认认证流程中确实请求了正确的Scope（可以通过查看认证请求的URL参数来验证）

内容的提问来源于stack exchange，提问作者Zakos