使用 v2.0 端点的声明中缺少 UPN

我已经设置了一个类似于 Microsoft 的以下示例的项目，其中我有一个本机应用程序请求使用 v2.0 端点访问 Web api：https://github.com/azureadquickstarts/appmodelv2-nativeclient-dotnet https://github.com/azureadquickstarts/appmodelv2-nativeclient-dotnet

我已使用在 AAD 中注册的帐户（而不是 Microsoft 帐户）成功登录 AAD。我确实收到了一份索赔清单。但是，upn 声明和电子邮件声明丢失。我正在使用 jwt.ms 来分析索赔，这是我从索赔中收到的信息：

{
   "typ": "JWT",
   "alg": "RS256",
   "kid": "1LTMzakihiRla_8z2BEJVXeWMqo"
}.{
   "aud": "Client ID/ App ID",
   "iss": "https://login.microsoftonline.com/tenantid/v2.0",
   "iat": 1534758037,
   "nbf": 1534758037,
   "exp": 1534761937,
   "aio": "ATQAy/8IAAAA+PZj+5vnrUwDfqTTKNBDcy0Tl7rOztkxzrb9YWXHVlevKwrlsGBP/gYAvL4bwr2G",
   "azp": "Client ID/ App ID",
   "azpacr": "0",
   "e_exp": 262800,
   "name": "xxx yyy",
   "oid": "9cc37e1d-0490-4cf4-9bb8-c872899dee91",
   "preferred_username": "[email protected] /cdn-cgi/l/email-protection",
   "scp": "access_as_user",
   "sub": "2l0nasrd8QbBpiEu1RGLFCavj3SzTzizIgmKAiMbdU0",
   "tid": "tenantid",
   "uti": "HG2cIi_MGUyBxBl6MzFPAA",
   "ver": "2.0"
}.[Signature]

我不明白为什么我在索赔中没有收到 UPN。我真的很感激任何帮助！

您需要确保您也请求openid和profile范围。 有关各个权利要求中的范围提供哪些信息的信息可以在文档中找到here https://learn.microsoft.com/en-us/azure/active-directory/develop/v2-id-and-access-tokens一些基本的概述信息here https://learn.microsoft.com/en-us/azure/active-directory/develop/v2-permissions-and-consent我下载了您引用的示例。在 App.config 文件中，我将范围键更改为 /access_as_user openid profile email" /> 并运行代码。这会导致获得 Preferred_username 声明 - “代表 v2.0 端点中用户的主用户名。它可以是电子邮件地址、电话号码或没有指定格式的通用用户名。它的值是可变的，可能会随着时间的推移而改变。为了收到此声明，需要配置文件范围。” 这openid, profile and email范围是 V2 端点中众所周知的范围的一部分，在Azure AD 开发人员文档 https://learn.microsoft.com/en-us/azure/active-directory/develop/v2-protocols-oidc。要查看这些众所周知的范围，您可以访问以下 URL：

https://login.microsoftonline.com/{tenant}/v2.0/.well-known/openid-configuration

Where {tenant}可以替换为 common = 同时拥有个人 Microsoft 帐户和 Azure Active Directory (Azure AD) 的工作或学校帐户的用户可以登录到该应用程序。 组织 = 只有拥有 Azure AD 工作或学校帐户的用户才能登录该应用程序。 消费者 = 只有拥有个人 Microsoft 帐户的用户才能登录该应用程序。 tenantGUID或tenantName =（您的特定Azure AD租户ID或名称 - 即contoso.onmicrosoft.com）单个租户的用户可以访问该应用程序。可以使用 Azure AD 租户的友好域名或租户的 GUID 标识符。

去https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration您将获得 JSON 的 URL，其中显示了以下可用的范围scopes_supported部分：

"scopes_supported": 
[
  "openid",
  "profile",
  "email",
  "offline_access"
],

这四个作用域是 v2 端点的特殊作用域，因此当您请求它们时，您不需要查看这些作用域正在访问哪些应用程序或服务主体。它们对于 v2 端点来说是全局的，因此当您请求它们时，您将请求它们作为openid profile email offline_access这些范围不应使用应用程序标识符。