【发布时间】：2018-04-09 15:43:27
【问题描述】：
我正在尝试了解如何使用 B2C 来保护我的 Web API。我的大部分功能都可供任何人使用，但也有少数功能仅供管理员使用（例如删除帐户、列出所有用户等）。我看到我们可以设置一堆自定义声明，但用户似乎有权编辑这些声明。因此，例如，我可以设置一个“组”属性并将值设置为“用户”或“管理员”，但在我看来，用户可以编辑此属性，从而使整个方案一文不值。
那么，我们应该如何实施用户组来保护使用 .net core 2.0 和 Azure AD B2C 的 API？
【问题讨论】：
-
“但用户似乎有权编辑这些声明”怎么会？
-
内置属性可由用户编辑。我假设自定义属性也是可编辑的。如果不是这种情况，那么您将如何将属性（例如“组”）设置为“用户”或“管理员”？
-
@DonaldAirey 您是如何首先实现基于角色的授权或在这种情况下自定义属性的。我现在被困在这一步。你能在这方面帮助我吗？
标签： azure-active-directory asp.net-core-2.0 azure-ad-b2c