迁移至Azure AD后SPSecurity.RunWithElevatedPrivileges调用失败求助

首先明确：你可以通过配置Azure AD或在应用代码中转换，得到SharePoint期望的\username格式用户标识，这也是解决SPSecurity.RunWithElevatedPrivileges抛出ArgumentException的核心。下面是几个具体方案：

方案1：利用Azure AD的本地AD同步属性（适用于从本地AD同步的用户） #

如果你的Azure AD用户是从本地Active Directory同步过来的，Azure AD中会存储用户的sAMAccountName（也就是你要的<domain>\username里的username部分）。你可以通过以下步骤让Azure AD在令牌中返回这个属性：

• 登录Azure门户，找到你的应用注册
• 进入令牌配置页面，点击添加可选声明
• 选择ID令牌或访问令牌（根据你应用的认证方式），勾选onpremises_sam_account_name选项并保存
• 在你的ASP.Net应用中，从用户的声明集合里获取这个属性值，再拼接上你的域名前缀（比如CONTOSO\\），就能得到完整的<domain>\username格式标识

方案2：从UPN提取（通用方案，适用于所有用户） #

Azure AD默认返回的用户主体名称(UPN)通常是username@domain.com格式，你可以在代码中提取@符号前的部分，再拼接域名：

// 获取Azure AD返回的UPN
var userUpn = User.Identity.Name;
// 提取用户名部分并拼接域名
var domainUsername = $"YOUR_DOMAIN\\{userUpn.Split('@')[0]}";

⚠️ 注意：这个方法依赖UPN的格式规则，如果你的用户UPN不是标准的username@domain.com，可能需要调整拆分逻辑。

方案3：自定义声明映射（更灵活的配置方式） #

如果上面的方案不符合需求，你可以在Azure AD应用注册中创建自定义声明，直接映射出<domain>\username格式的标识：

• 在Azure门户的应用注册中，进入令牌配置，点击添加自定义声明
• 选择声明类型（ID令牌或访问令牌），设置声明名称（比如domain_username）
• 在源属性中，使用表达式拼接：concat("YOUR_DOMAIN\\", user.onpremisessamaccountname)（同步用户）或concat("YOUR_DOMAIN\\", split(user.userprincipalname, "@")[0])（通用）
• 保存后，你的应用就能直接从令牌中获取到现成的<domain>\username格式标识

额外提醒 #

出现SPSecurity.RunWithElevatedPrivileges异常的根本原因是：这个方法依赖传统Windows身份验证的<domain>\username格式标识，而Azure AD默认返回的是现代身份协议的邮箱/UPN格式，参数不匹配导致报错。

如果你的代码逻辑允许，更推荐在应用的认证管道中统一转换用户标识格式，而不是修改Azure AD的默认令牌输出——这样能避免影响其他依赖现代身份标识的功能。

内容的提问来源于stack exchange，提问作者Nathan