SpringBoot集成Azure AD B2C登录时Token响应提取异常排查

核心配置核对（application.properties） #

invalid_token_response错误大多源于token端点配置错误或响应格式不匹配，先重点检查以下配置项：

• 提供者端点必须包含B2C策略名：Azure AD B2C的授权和token URI必须带上你的自定义策略（比如b2c_1_signupsignin），示例格式：

  spring.security.oauth2.client.provider.azure-b2c.authorization-uri=https://{你的租户名}.b2clogin.com/{你的租户名}.onmicrosoft.com/{你的策略名}/oauth2/v2.0/authorize
  spring.security.oauth2.client.provider.azure-b2c.token-uri=https://{你的租户名}.b2clogin.com/{你的租户名}.onmicrosoft.com/{你的策略名}/oauth2/v2.0/token
  

• 客户端信息必须完全匹配：client-id、client-secret要和Azure门户应用注册页面的内容完全一致，注意不要有多余空格或拼写错误
• 回调URI配置正确：redirect-uri需设置为{baseUrl}/login/oauth2/code/{你的注册ID}，Spring Security会自动处理这个回调，无需手动编写控制器

SecurityConfig配置检查 #

确保你的安全配置正确启用OAuth2登录，示例正确实现：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .oauth2Login(oauth2 -> oauth2
                .userInfoEndpoint(userInfo -> userInfo
                    .userService(customOAuth2UserService())
                )
            );
        return http.build();
    }

    private OAuth2UserService<OAuth2UserRequest, OAuth2User> customOAuth2UserService() {
        DefaultOAuth2UserService defaultService = new DefaultOAuth2UserService();
        return request -> {
            OAuth2User user = defaultService.loadUser(request);
            // 可在此处自定义用户信息映射逻辑，比如转换为系统内部用户实体
            return user;
        };
    }
}

• 不需要单独编写登录后处理控制器：Spring Security的oauth2Login()已经内置了回调处理、token解析、用户信息加载的完整逻辑
• 若自定义了tokenResponseConverter，需确保它能正确解析Azure AD B2C的响应格式（包含id_token、access_token、expires_in等字段），默认转换器可正常处理，自定义时不要破坏原有解析逻辑

其他排查点 #

• 确认Azure AD B2C应用注册的回复URL和配置的redirect-uri完全一致，本地开发可使用HTTP，但生产环境必须用HTTPS
• 检查B2C策略是否已发布，未发布的策略无法正常返回token
• 确认授权类型配置为authorization_code，这是Spring Boot集成Azure AD B2C的标准流

内容的提问来源于stack exchange，提问作者Akash Verma