azure-web-app-service - 带有属性 "hasgroups=true"而不是组属性对象的 Azure JWT

Question

我有一个带有 Azure Active Directory 身份验证的 Azure Web 应用程序(使用 adal-angular 制作)；

在应用程序 list 中，我设置了 "groupMembershipClaims": "SecurityGroup"
奇怪的是，在某些日子里，对于一个用户来说，它在 AAD token 中没有包含组成员资格 objectIds 列表的组声明，而是有一个名为 hasgroups 的属性，其值为 true 。

我可以做些什么吗？
现在我将检查是否有一个属性或另一个属性，然后调用 GraphAPI 以获得直接组成员资格。

Answer 1

hasGroups=true 在用户属于“太多组”的情况下返回。 我不知道确切的阈值是多少(20？200？)，但实际上你需要在你的代码中做的是(伪代码):

if (hasGroups)
  Call the Graph to inquire:
    Either about the full group membership OR 
    About membership to a particular group
else
  Access groups directly from the token

Get all the groups a users belongs to :

https://graph.windows.net/myorganization/users/{user_id}/$links/memberOf?api-version

Inquire whether the user belongs to a specific group :

https://graph.windows.net/myorganization/users/{user_id}/isMemberOf?api-version