Azure AD B2C自定义策略集成微软账户登录遇unauthorized_client错误

错误核心原因 #

该错误源于应用注册的受众配置、B2C自定义策略的技术配置不匹配，或是Azure后台配置未完成同步。

分步解决方案 #

• 验证应用注册核心配置

  1. 重定向URI必须完全匹配：应用注册内的重定向URI需严格对应B2C回调地址，格式为https://<你的B2C租户名>.b2clogin.com/<你的B2C租户名>.onmicrosoft.com/oauth2/authresp，大小写、路径均不能出错。
  2. 权限配置需到位：添加Microsoft Graph的委派权限User.Read，并完成管理员同意（生产环境必填）。
  3. 确认配置同步：应用注册清单中已设置signInAudience: "AzureADandPersonalMicrosoftAccount"和accessTokenAcceptedVersion: 2后，需等待5-10分钟让Azure后台完成配置同步，这一步常被忽略。

• 修正自定义策略的Technical Profile
  针对微软账户的技术配置需满足：

  • Metadata中的AccessTokenEndpoint为https://login.microsoftonline.com/common/oauth2/v2.0/token
  • ClientId是应用注册的应用程序（客户端）ID，无拼写错误
  • AllowedTokenSigningAlgorithms设置为["RS256"]
  • UsePolicyInRedirectUri设为false

• 检查授权请求URL参数
  确认请求内的关键参数：

  • client_id为正确的应用ID
  • scope包含openid、profile等必要权限
  • redirect_uri与应用注册内的地址完全一致
  • tenant参数设为common（而非你的B2C租户ID）

内容的提问来源于stack exchange，提问作者Arslan Pervaiz