.NET Core 2.0 Web Api中User.HasClaim读取声明属性失败求助

我来帮你捋捋这个问题，这种坑我之前踩过好几次，大概率是声明类型不匹配或者多值Scope的处理方式不对导致的，咱们一步步排查：

1. 先确认Scope声明的实际类型 #

Azure AD B2C返回的Scope声明，它的ClaimType并不是你可能默认以为的"scope"，而是一个带有命名空间的长字符串：http://schemas.microsoft.com/identity/claims/scope。

你可以在控制器里先把所有Claim打印出来确认：

foreach (var claim in User.Claims)
{
    // 可以输出到日志或者调试窗口
    System.Diagnostics.Debug.WriteLine($"ClaimType: {claim.Type}, Value: {claim.Value}");
}

如果看到Scope对应的Type是上面那个长字符串，那你之前用User.HasClaim("scope", "你的作用域名")自然会返回false——因为类型不匹配。这时候要改用正确的Type：

// 正确的调用方式
var hasScope = User.HasClaim("http://schemas.microsoft.com/identity/claims/scope", "your-target-scope");

2. 处理多值Scope的情况 #

有时候Azure AD B2C会把多个请求的Scope合并成一个Claim，Value是用空格分隔的字符串（比如"read write profile"）。这种情况下，哪怕你用了正确的ClaimType，HasClaim也会返回false，因为它是精确匹配整个Value，不会自动拆分空格。

这时候需要手动拆分检查：

var scopeClaim = User.Claims.FirstOrDefault(c => c.Type == "http://schemas.microsoft.com/identity/claims/scope");
bool hasRequiredScope = scopeClaim != null && scopeClaim.Value.Split(' ', StringSplitOptions.RemoveEmptyEntries).Contains("your-target-scope");

3. 修正Startup中的授权策略配置 #

如果你的授权策略也没生效，那大概率是策略里的ClaimType设置错了。把策略里的ClaimType改成Azure AD B2C实际返回的类型就行：

services.AddAuthorization(options =>
{
    var policyRead = new AuthorizationPolicyBuilder()
        // 这里用正确的ClaimType，加上目标Scope值
        .RequireClaim("http://schemas.microsoft.com/identity/claims/scope", "your-read-scope")
        .Build();
    options.AddPolicy("ReadAccess", policyRead);
});

之后控制器上用[Authorize(Policy = "ReadAccess")]就能正常生效了。

4. 额外验证：确保令牌包含目标Scope #

最后再确认下：

• 你获取令牌时的请求参数里，确实包含了目标Scope；
• Azure AD B2C的应用注册中，已经添加了这个Scope，并且用户（或服务主体）已经获得了该Scope的权限。

内容的提问来源于stack exchange，提问作者stumpykilo