.NET OIDC如何同时支持id_token与userinfo端点的myclaim角色映射？

可以实现同时适配两种场景，核心思路是结合ClaimActions和OIDC事件回调来统一处理两种来源的myclaim声明，避免直接设置RoleClaimType带来的兼容性冲突，具体步骤如下：

1. 保留options.GetClaimsFromUserInfoEndpoint = true配置，确保会拉取userinfo端点数据
2. 不设置options.TokenValidationParameters.RoleClaimType，避免自动将id_token中的myclaim直接映射为角色声明（防止和userinfo的映射逻辑冲突）
3. 添加ClaimAction处理userinfo端点返回的myclaim，映射为标准角色声明：

   options.ClaimActions.MapJsonKey(ClaimTypes.Role, "myclaim");
   

4. 注册OnTokenValidated事件回调，处理id_token中携带的myclaim：

   options.Events = new OpenIdConnectEvents
   {
       OnTokenValidated = context =>
       {
           // 检查是否已存在角色声明（来自userinfo的映射）
           var hasRoleClaim = context.Principal.Claims.Any(c => c.Type == ClaimTypes.Role);
           if (!hasRoleClaim)
           {
               // 从id_token中提取myclaim并转为角色声明
               var myClaim = context.Principal.FindFirst("myclaim");
               if (myClaim != null)
               {
                   var identity = context.Principal.Identity as ClaimsIdentity;
                   identity.AddClaim(new Claim(ClaimTypes.Role, myClaim.Value));
                   // 可选：移除原myclaim声明，避免冗余
                   identity.RemoveClaim(myClaim);
               }
           }
           return Task.CompletedTask;
       }
   };
   

逻辑说明 #

• 对于将myclaim放在userinfo端点的提供商：通过MapJsonKey直接将myclaim映射为标准Role声明，事件回调会检测到已存在角色声明，不会重复处理
• 对于将myclaim放在id_token的提供商：id_token中的myclaim会被自动加入ClaimsPrincipal，事件回调检测到无角色声明时，将其转为标准Role声明

这种方式既兼容两种场景，又保证了角色声明的统一性，不会出现冲突或重复问题。

内容的提问来源于stack exchange，提问作者TheHvidsten