配置Microsoft Entra ID可选声明login_hint始终为空问题排查

• 确认声明配置的位置与结构
  你提供的单个声明项需要正确嵌套在应用清单的optionalClaims节点下的idToken和accessToken数组中，完整结构应该是：

  "optionalClaims": {
    "idToken": [
      {
        "additionalProperties": [],
        "essential": false,
        "name": "login_hint",
        "source": null
      }
    ],
    "accessToken": [
      {
        "additionalProperties": [],
        "essential": false,
        "name": "login_hint",
        "source": null
      }
    ]
  }
  

  同时要在Entra ID应用注册的Token configuration页面中，分别给ID令牌和访问令牌手动添加login_hint声明，避免仅修改清单导致的配置不同步。

• 检查身份验证范围配置
  确保Blazor WASM的身份验证请求包含openid基础范围，这是login_hint声明返回的必要前提。在Program.cs的Msal配置中，确认DefaultAccessTokenScopes包含openid，例如：

  builder.Services.AddMsalAuthentication(options =>
  {
      options.ProviderOptions.DefaultAccessTokenScopes.Add("openid");
      // 其他配置项
  });
  

• 验证应用是否正确读取令牌声明
  在调试时，通过JWT解析工具查看实际返回的ID/访问令牌内容，确认login_hint是否存在于令牌中。如果令牌里确实没有，说明是Entra ID端的配置问题；如果令牌里有但应用读取不到，检查Blazor配置中是否开启了IncludeIdTokenClaims：

  options.ProviderOptions.IncludeIdTokenClaims = true;
  

• 排查会话与缓存影响
  清除浏览器缓存或使用隐私窗口重新登录，避免旧的缓存令牌干扰测试结果。同时确认应用的租户配置（单/多租户）、条件访问策略没有限制login_hint声明的返回。

• 检查登出时的参数传递逻辑
  即使login_hint声明存在，也要确保在调用登出接口时，正确从用户声明中提取该值并作为logout_hint参数传入。例如：

  var loginHint = context.User.FindFirst("login_hint")?.Value;
  var logoutUrl = $"https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/logout?post_logout_redirect_uri={redirectUri}&logout_hint={loginHint}";
  

内容的提问来源于stack exchange，提问作者Kiiiieeeeuuuw