如何正确限制Azure Web应用访问？基于Azure B2C的邮箱白名单管控

方案1：自定义策略从注册环节拦截（推荐） #

这是最贴合需求的原生方案，直接把邮箱校验逻辑嵌入Azure B2C的注册流程，从源头阻止未授权用户：

• 编写Azure B2C自定义策略，扩展注册用户旅程
• 在策略中添加API调用步骤，读取Azure App Configuration里的允许邮箱列表做校验
• 如果用户输入的邮箱不在列表中，B2C直接返回错误页面，终止注册流程；校验通过才完成账户创建
• 后续只需更新App Configuration中的邮箱列表，策略会自动读取最新数据，无需修改代码

方案2：用户流+API连接器（轻量化替代） #

如果不想深入复杂的自定义策略，用内置用户流配合API连接器也能实现：

• 搭建一个简单的Azure Function（或Web API），核心逻辑就是读取App Configuration的邮箱列表并做匹配校验
• 在Azure B2C的注册用户流中配置这个API连接器，设置为注册流程的前置校验步骤
• 用户提交注册信息后，B2C会自动调用你的API，根据返回结果决定是否允许注册
• 动态更新邮箱列表的方式和之前一致，无需改动B2C配置

方案3：组管理+角色授权（适合批量用户场景） #

如果允许的用户可以按组维护，而非零散邮箱，这个方案更高效：

• 在Azure B2C中创建安全组，通过Graph API批量添加/移除允许的用户
• 在Web App的B2C配置里，设置应用角色仅对该组成员开放；或者在后端验证ID令牌中的groups声明，确认用户归属
• 后续只需维护组内用户即可，无需单独管理邮箱列表

现有方案的优化说明 #

你当前用的App Config+装饰器方案是可行的，但属于后端事后校验——用户已经完成注册/认证后才被拦截，不仅流程不够顺畅，还增加了后端的校验负担。上面的方案都是在B2C的认证链路中提前拦截，符合云原生安全设计的最佳实践，也能减少后端的冗余逻辑。

内容的提问来源于stack exchange，提问作者O P