JWT 令牌和 AzureB2C 的安全性

Question

我有 .net Core API 和 Next.JS 前端（带有 MSAL）。我使用 Azure AdB2C 对用户进行身份验证。目前我正在考虑在 B2C 中存储用户的角色和用户的组织 Id/租户 Id 并将其返回到令牌中。这被认为是一种不好的做法吗？

Answer 1

没有。

您不必存储租户ID。您可以从中得出：

<OutputClaim ClaimTypeReferenceId="tenantId" AlwaysUseDefaultValue="true" DefaultValue="{Policy:TenantObjectId}" />

它在入门包的 SUSI 策略中默认返回。

角色只是主张；在 JWT 中存储和返回它们是正常的。