Azure AD B2C用户会员类型分配问题求助

一、解决自定义属性不显示的问题 #

• 自定义属性在Azure AD B2C中创建后，默认不会直接出现在Portal的用户属性列表里，必须通过用户流或自定义策略引用后才会生效并存储。
• 若使用用户流：进入对应用户流的「属性」和「应用程序声明」步骤，将你创建的自定义属性添加进去，发布用户流后，新创建的用户或通过该用户流登录的用户，属性会被正常存储，可通过Microsoft Graph API查询查看（调用GET https://graph.microsoft.com/v1.0/users/{user-id}，返回的extension_<b2c-extensions-app-client-id>_属性名字段即为自定义属性，注意client-id需去掉连字符）。

二、会员体系构建的优化方案 #

你当前计划为每个会员等级单独创建自定义属性的方式冗余且不易管理，推荐用单一自定义属性存储会员等级：

• 创建自定义属性：在Azure AD B2C「用户属性」中新建字符串类型属性，命名为membershipLevel，属性值可选Bronze、Silver、Gold。
• 分配会员等级：管理员通过外部应用调用Microsoft Graph API创建用户时，直接在请求体中设置该属性值，示例请求体：

  {
    "displayName": "John Doe",
    "identities": [
      {
        "signInType": "emailAddress",
        "issuer": "你的B2C租户域名.onmicrosoft.com",
        "issuerAssignedId": "john.doe@example.com"
      }
    ],
    "passwordProfile": {
      "password": "TempPass123!",
      "forceChangePasswordNextSignIn": true
    },
    "extension_<b2c-extensions-app-client-id>_membershipLevel": "Silver"
  }
  

  注：b2c-extensions-app-client-id是租户内「b2c-extensions-app」的客户端ID，需去除所有连字符。

三、基于会员等级的权限控制 #

1. 通过声明传递等级信息：在用户流或自定义策略中，将membershipLevel添加到应用程序声明，用户登录后，ID Token或Access Token会包含该字段，服务端可直接读取判断权限。
2. 结合自定义角色细化权限：若需更细粒度控制，可创建BronzeMember、SilverMember、GoldMember等自定义角色，将用户与对应角色绑定，通过Token中的角色声明实现权限校验。
3. API层权限拦截：后端API可在授权逻辑中，根据Token内的membershipLevel或角色声明，限制不同等级用户的接口访问范围。

四、规避复杂自定义策略的替代路径 #

若觉得自定义策略过于复杂，优先使用内置用户流完成核心配置：

• 用内置用户流处理登录、注册流程，在流中配置自定义属性的收集与返回逻辑。
• 管理员创建用户统一通过Microsoft Graph API操作，比Portal手动录入更高效，且能直接设置会员属性。

内容的提问来源于stack exchange，提问作者Prime Capybara