在Client Credentials授权流中为AAD access_token注入自定义声明是否可行？

在Client Credentials授权类型下，确实能让Azure AD把自定义声明注入到颁发的access_token中，主要有两种方式，分别对应静态固定值和动态由客户端控制的场景：

一、静态自定义声明（固定值，提前配置） #

如果你的自定义声明是固定不变的（比如应用的特定标识、环境标签），可以直接在AAD门户里配置：

• 登录AAD门户，找到你的资源应用（也就是被访问的服务端应用，因为access_token是用于访问该资源的）
• 进入「令牌配置」>「添加可选声明」
• 选择令牌类型为access_token，可以添加系统提供的可选声明，也能点击「添加自定义可选声明」创建自己的声明并设置固定值
• 保存配置后，后续通过Client Credentials流获取的access_token就会自动包含这些声明

这种方式配置简单，不用修改客户端代码，但缺点是声明值是静态的，没法由客户端动态调整。

二、动态自定义声明（由客户端控制值） #

如果需要让获取令牌的客户端来决定自定义声明的具体值，推荐用**客户端断言（Client Assertion）**的方式：

1. 客户端不再用客户端密码（client_secret）请求token，而是生成一个自己签名的JWT（即客户端断言）
2. 在这个JWT的claims部分，加入你想要注入到access_token的自定义声明（比如custom_env: "production"）
3. 请求token时，把client_assertion参数设为这个JWT，client_assertion_type设为urn:ietf:params:oauth:client-assertion-type:jwt-bearer
4. 同时要在AAD的资源应用中配置，允许接受这些自定义声明（可通过自定义策略或API权限配置实现，确保AAD会将断言中的声明传递到access_token里）

这种方式的核心是客户端通过自签名断言传递自定义信息，AAD会验证断言的合法性（签名有效性、issuer正确性等），所以这些声明是可信的，且完全由客户端控制值。

另外，如果使用Azure AD Premium P1/P2版本，还能通过自定义策略更灵活地控制令牌声明的生成逻辑，比如根据客户端信息动态添加声明，或者对声明做格式转换。

注意事项 #

• 自定义声明必须符合AAD允许的格式，不能包含特殊字符，还要避免和AAD默认声明冲突
• 动态方式需要客户端具备生成签名JWT的能力，可借助OpenID Connect库或JWT工具库实现
• 所有添加的声明都会被AAD签名，服务端可直接验证令牌的完整性和真实性，完全不用依赖额外HTTP Header传递信息

内容的提问来源于stack exchange，提问作者AverageAsker