node.js - Azure Active Directory 将自定义数据添加到 Oauth2 token

Question

我正在使用身份验证端点 https://login.microsoftonline.com/tenant-id/oauth2/v2.0/token以编程方式(Nodejs)获取将用于我的 API 的 token 。我已正确配置所有内容，以使用我在 Azure 门户 - 应用程序注册服务上设置的“客户端 key ”发送请求。

这会发出一个有效的 token ，我稍后可以在Passport azure AD npm library的帮助下检查该 token 。 。然而，我一直在寻找一种以某种方式向该 token (即自定义用户名)添加更多元数据的方法，以便当我的服务器根据 future 的请求对其进行验证和解析时，我可以提取此信息。

当使用前端应用程序库(如 msal)发行 token 时，我可以访问 token 上的一些用户信息(如其 oid 和电子邮件地址)。我希望能够“扩展”客户端 key 生成的 token ，使其还包含几个自定义字段，我可以在验证和解析它后使用它们。

希望这已经足够清楚了。我不知道如何实现这一目标。谢谢

Answer 1

API 根据存储在业务数据(例如角色或其他自定义数据)中的声明进行授权是一种常见要求。

选项 1

理想情况下，授权服务器可以在向 API 或数据库颁发 token 时联系以包含自定义声明。但这并不总是受支持。

选项 2

API 的另一个选项是将传入的访问 token 处理为 ClaimsPrincipal 并在此时包含自定义值。有关示例，请参阅 this code of mine .

隐私

添加更多声明时，您还应该小心不要泄露返回给互联网客户端的 JWT 中的敏感数据。例如，如果您包含姓名和电子邮件，它们很容易阅读，但这有时可能会成为安全问题。