Id_token 索赔

Question

我有一个 AngularJS 应用程序，我已使用 adal.js 成功通过 ADFS 4.0 的身份验证。

一切正常，但 id_token 中的声明没有包含足够的用户信息，无法隐藏用户不应访问的应用程序部分。获取用户所属组的正确方法是什么？还是我做错了。

Answer 1

我不知道 ADFS，但如果您要针对 Azure AD 进行身份验证，您将不仅拥有 id_token，还可以使用它来获取应用程序的访问令牌。访问令牌将包含用户在应用程序中的角色，您将使用它来验证对应用程序部分的访问。

Answer 2

根据我的理解，我们可以将有关用户所属组信息的自定义声明添加到访问令牌，如下面的配置：

然后在网站后端API，我们可以验证请求关联访问令牌是否可以访问特定网站API。