ASP.NET Identity+O365 OpenIdConnect外部登录无法获取邮箱声明？

我来帮你一步步排查这个邮箱无法正常获取的问题，结合我处理这类场景的经验，大概率是这几个环节出了问题：

1. 确认OpenIdConnect请求的Scope是否包含邮箱权限 #

O365的OpenIdConnect默认不会主动返回邮箱信息，你需要在配置里显式添加email和profile scope。在Startup（或者Program.cs，看你的.NET版本）的OpenIdConnect配置里加上：

services.AddAuthentication().AddOpenIdConnect("AzureAD", options =>
{
    // 其他配置...
    options.Scope.Add("email");
    options.Scope.Add("profile");
    options.Scope.Add("User.Read"); // 这个权限用于获取用户基本信息
});

User.Read是获取用户资料的基础委托权限，必须确保已在应用注册后台配置并授权。

2. 检查外部登录回调中的Claims集合 #

在ExternalLoginCallback方法里，先调试确认Claims里是否存在邮箱相关的声明。可以加一段代码打印或查看：

var externalPrincipal = info.Principal;
// 先找标准的Email声明
var email = externalPrincipal.FindFirstValue(ClaimTypes.Email);
// 如果没有，试试O365特有的声明键
if (string.IsNullOrEmpty(email))
{
    email = externalPrincipal.FindFirstValue("email");
    email ??= externalPrincipal.FindFirstValue("http://schemas.microsoft.com/identity/claims/emailaddress");
}
// 这里可以加日志或者断点看email的值

如果Claims里完全没有邮箱，那就是Scope或者权限配置的问题；如果有值但传递到注册页面时丢失了，那就是页面间传递的问题。

3. 确保邮箱值正确传递到注册页面 #

如果回调里能拿到邮箱，但注册页面显示null，那要检查你是怎么把值传过去的。比如可以用TempData或者路由参数：

// 在ExternalLoginCallback里
if (!string.IsNullOrEmpty(email))
{
    TempData["ExternalEmail"] = email;
    // 或者通过路由传递
    return RedirectToAction("Register", new { externalEmail = email });
}

然后在Register的ViewModel里添加对应的属性，比如：

public class RegisterViewModel
{
    [ReadOnly(true)]
    public string Email { get; set; }
    // 其他注册字段...
}

在Register的Get方法里接收值：

public IActionResult Register(string externalEmail)
{
    var model = new RegisterViewModel
    {
        Email = externalEmail ?? TempData["ExternalEmail"]?.ToString()
    };
    return View(model);
}

然后在视图里绑定这个只读字段：

<div class="form-group">
    <label asp-for="Email"></label>
    <input asp-for="Email" class="form-control" readonly />
</div>

4. 兜底方案：调用Microsoft Graph获取邮箱 #

如果上述方法都拿不到邮箱（比如用户有多个关联邮箱，id_token里没返回），可以调用Microsoft Graph的/me端点获取更准确的用户信息：

// 在ExternalLoginCallback里获取access_token
var accessToken = await HttpContext.GetTokenAsync("access_token");
if (!string.IsNullOrEmpty(accessToken))
{
    using var client = new HttpClient();
    client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
    var userResponse = await client.GetAsync("https://graph.microsoft.com/v1.0/me");
    if (userResponse.IsSuccessStatusCode)
    {
        var userData = await userResponse.Content.ReadFromJsonAsync<dynamic>();
        // 优先取mail字段，没有的话取userPrincipalName
        var email = userData.mail ?? userData.userPrincipalName;
        // 再传递到注册页面
    }
}

这个方法需要确保你的应用注册了User.Read的委托权限，并且已获得授权。

先从第一步开始排查，一步步缩小范围，应该就能解决email为null的问题了！

内容的提问来源于stack exchange，提问作者Ajay Menon