已通过OpenID认证时，如何避免Azure B2C中SAML交互式登录

要实现已通过OIDC登录的SPA用户免交互访问SAML应用，核心是让Azure B2C识别并重用已有会话，以下是具体实现步骤：

• 确保会话Cookie共享基础
  确认你的SPA和SAML应用都使用同一个Azure B2C租户的域名（比如https://yourtenant.b2clogin.com）发起认证请求。Azure B2C的会话Cookie默认绑定在.b2clogin.com域下，只要两个流程的请求域名一致，Cookie就会被浏览器共享，这是会话重用的前提。同时要保证SPA的MSAL配置中authority参数和SAML应用的IDP端点域名完全匹配。

• 通过自定义策略配置会话重用逻辑
  内置策略的SAML流程可能默认强制交互式登录，你需要切换到自定义策略并调整以下配置：

  1. 在RelyingParty节点中添加会话行为配置，明确允许租户范围内的单点登录：

     <UserJourneyBehaviors>
       <SingleSignOn Scope="Tenant" />
       <SessionExpiryType>Rolling</SessionExpiryType>
       <SessionExpiryInSeconds>86400</SessionExpiryInSeconds>
     </UserJourneyBehaviors>
     

  2. 检查SAML应用对应的UserJourney，确保其起始步骤（如CombinedSignInAndSignUp）的技术配置文件包含会话检查逻辑，让B2C在处理SAML请求时优先验证已有会话：

     <OrchestrationStep Order="1" Type="CombinedSignInAndSignUp" ContentDefinitionReferenceId="api.signuporsignin">
       <ClaimsProviderSelections>
         <ClaimsProviderSelection TargetClaimsExchangeId="LocalAccountSigninEmailExchange" />
       </ClaimsProviderSelections>
       <ClaimsExchanges>
         <ClaimsExchange Id="LocalAccountSigninEmailExchange" TechnicalProfileReferenceId="SelfAsserted-LocalAccountSignin-Email" />
       </ClaimsExchanges>
     </OrchestrationStep>
     <OrchestrationStep Order="2" Type="ClaimsExchange">
       <Preconditions>
         <Precondition Type="ClaimsExist" ExecuteActionsIf="true">
           <Value>objectId</Value>
           <Action>SkipThisOrchestrationStep</Action>
         </Precondition>
       </Preconditions>
       <ClaimsExchanges>
         <ClaimsExchange Id="SignUpWithLogonEmailExchange" TechnicalProfileReferenceId="LocalAccountSignUpWithLogonEmail" />
       </ClaimsExchanges>
     </OrchestrationStep>
     

     这里的Precondition会检查objectId（会话标识）是否存在，存在则直接跳过登录步骤。

• 调整SPA端的跳转逻辑
  不要直接跳转至SAML应用的登录页，而是构造指向Azure B2C SAML IDP端点的请求，并确保请求中不强制重新认证：

  • 如果通过OIDC方式触发SAML流程，跳转时带上prompt=none参数，告知B2C无需发起交互式登录；
  • 如果直接构造SAML AuthnRequest，设置ForceAuthn="false"，避免强制用户重新输入凭证。
    另外，SPA可以先通过MSAL的getAccount()方法确认用户处于登录状态，再发起跳转，确保会话有效。

• 排查浏览器Cookie限制
  部分浏览器默认阻止第三方Cookie，而Azure B2C的会话Cookie对SPA来说属于第三方Cookie，会导致会话无法共享。可以让用户在浏览器中允许.b2clogin.com的Cookie，或者使用自定义域名（如login.yourdomain.com）替代默认的.b2clogin.com，将Cookie转为第一方Cookie，规避浏览器限制。

• 验证会话状态
  可以在自定义策略中添加日志跟踪会话ID，确认SAML流程是否识别到了OIDC流程创建的会话。也可以通过B2C门户查看用户会话状态，排查是否存在会话过期或不匹配的问题。

内容的提问来源于stack exchange，提问作者Kennon Young