http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier 类型的声明应该用于什么？
这是主要问题，还有其他问题。
它与http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name 声明有何不同？
相对于名称声明，它对于特定用户是永久的吗？
它是全球范围的还是 IdP 范围的？
【问题讨论】：
标签： claims-based-identity adfs2.0 federated-identity
Name，就是这个名字。如果我们在谈论人，请想想“埃里克”；服务器“file01”。
NameIdentifier 是对象的 ID。回到我们的 person 对象，Eric 的 UserID 在您的数据库中可能是 435。对于服务器，标识符可以是 FQDN 或 SID 之类的东西。
根据this post，名称标识符显然是 SAML 1.1 属性，在 SAML 2.0 中被NameID 取代。
我想解决@Jason 的评论和@nzpcmad 的帖子。我不认为独特性是一个明确的要求。该问题被标记为adfs2.0，但引用的架构归 OASIS 所有。所以这些是我们需要平衡的两方解释。
Microsoft 对 ADFS 的立场显然是有一个独特的要求。我们在“The Role of Claims”文章中看到了这一点。毫无疑问，ADFS 投下了很大的阴影，但这似乎是一个实现细节。
然而，看着SAML 1.1 spec，我看不到这样的断言。我们在规范的第 2.4.2.2 节中得到的最接近的是：
元素通过一个组合指定一个主题 名称限定符、名称和格式。该元素有 以下属性：
...
NameQualifier[可选] 安全域或管理域 限定主题的名称。该属性提供了一种手段 联合来自不同用户存储的名称而不会发生冲突。
规范的文本告诉我，我需要能够使用这三个属性的组合来找到一个人，但它没有断言唯一性。我不能有两个指向同一个用户的条目吗？似乎如此。此外，在NameIdentifier 不足以唯一标识名称的情况下，规范难道不会指出NameQualifier 属性是必需的吗？
那么这一切会导致什么？
【讨论】：
名称 用户的唯一名称
名称标识符 用户的 SAML 名称标识符
这两个声明是 AD FS 2.0 默认配置的声明组的一部分。
这意味着它们是 IP 范围的。
例如当您使用 ACS 登录 Google 时，“nameidentifier”是 Google 与您的帐户关联的唯一 GUID，而 name 是您的 Google 登录信息，例如“tim.smith@gmail.com”。
【讨论】：
ClaimTypes.Name 用于用户名，ClaimTypes.NameIdentifier 将用户的身份 指定为对象透视图。如果您将它们添加到一种ClaimIdentity 对象中，该对象可让您访问User.Identity 方法（例如在dotnet 世界中），它们是GetUserName() 和GetUserId()。
【讨论】：
nameidentifier 声明应该用于获取唯一的用户名。
对于 Windows 身份验证：
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier域\术士
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name0#.w|域\warlock
domain\warlock 是 Windows 登录名
对于基于声明的身份验证：
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifierwarlock@localhost.com
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name05.t|myidentityprovider|warlock@localhost.com
电子邮件被指定为标识符声明
如您所见，.../identity/claims/name 也描述了名称和身份提供者。
【讨论】：