B2C自定义策略中prompt=login选项异常问题求助

问题概述 #

• 对接Azure AD（SAML协议）时，prompt=login呈现交替生效的异常：首次请求需输入凭证，第二次直接登录，第三次又需验证，循环往复
• 对接Auth0（OAuth/OIDC协议）时，prompt=login完全无效，始终复用现有会话，不触发凭证验证
• 当前使用SM-SocialLogin进行会话管理，prompt=none功能正常，可跳过IDP选择直接登录

针对Azure AD SAML的交替异常排查 #

1. 调整会话管理策略配置 #

检查SM-SocialLogin的会话规则，确保prompt=login时强制终止现有会话：

• 打开自定义策略的<ClaimsProvider>节点中对应SM-SocialLogin的<TechnicalProfile>，确认SessionExpiryType设置为Absolute，而非Rolling
• 在用户旅程的<UserJourneyBehaviors>中添加全局会话强制失效配置：

  <UserJourneyBehaviors>
    <SingleSignOn Scope="Tenant" KeepAliveInDays="0" />
  </UserJourneyBehaviors>
  

2. 强制传递SAML强制认证参数 #

在Azure AD的SAML技术配置中，确保每次请求都携带ForceAuthn=true：

• 在Azure AD对应的<TechnicalProfile>内添加输入声明：

  <InputClaims>
    <InputClaim ClaimTypeReferenceId="ForceAuthn" DefaultValue="true" AlwaysUseDefaultValue="true" />
  </InputClaims>
  

• 同时在<Protocol Name="SAML2">节点下添加元数据映射，将该声明绑定到SAML请求的强制认证属性：

  <Metadata>
    <Item Key="WantsForceAuthn">true</Item>
  </Metadata>
  

3. 排查会话Cookie冲突 #

手动清除浏览器中B2C的会话Cookie（以x-ms-cpim-sso开头）后重复测试：

• 如果清除后prompt=login持续生效，说明B2C的会话管理逻辑存在交替保留会话的问题，需进一步缩短会话有效期或调整SSO范围

针对Auth0（OAuth/OIDC）的无效问题排查 #

1. 确保prompt=login参数正确传递到Auth0 #

在Auth0的OIDC技术配置中，强制传递prompt=login参数：

• 在Auth0对应的<TechnicalProfile>的<Protocol Name="OpenIdConnect">节点下添加元数据：

  <Metadata>
    <Item Key="prompt">login</Item>
  </Metadata>
  

• 或通过输入声明动态传递（适用于仅在特定场景触发的情况）：

  <InputClaims>
    <InputClaim ClaimTypeReferenceId="prompt" DefaultValue="login" AlwaysUseDefaultValue="true" />
  </InputClaims>
  

2. 检查Auth0侧的应用配置 #

登录Auth0后台，确认应用设置满足强制认证要求：

• 进入应用的"Settings"页面，找到"Advanced" > "Login Session Management"，确保"Force Login"选项已启用
• 调整Auth0的会话超时时间，避免长期会话被复用

3. 绕过B2C直接测试Auth0端点 #

构造Auth0原生授权请求，添加prompt=login参数测试：

https://<your-auth0-domain>/authorize?client_id=<auth0-client-id>&redirect_uri=<your-redirect-uri>&response_type=code&scope=openid&prompt=login

• 如果直接调用Auth0端点能触发凭证验证，说明B2C未正确传递参数，需检查自定义策略中的参数映射或ClaimsTransformation逻辑

通用配置检查点 #

1. 检查用户旅程的ClaimsProviderSelection步骤 #

• 确保<ClaimsProviderSelection>节点未设置PreserveOriginalPreAuthenticationClaims="true"，该属性可能导致prompt=login参数被忽略
• 排查是否存在自定义ClaimsTransformation修改了prompt参数的值，导致参数被清空或篡改

2. 用基础策略隔离自定义逻辑干扰 #

使用官方SocialAndLocalAccounts入门策略，仅添加Azure AD和Auth0的最简配置测试：

• 如果基础策略中prompt=login功能正常，说明问题出在自定义策略的额外逻辑（如自定义UI、自定义ClaimsProvider）
• 如果基础策略仍异常，可能是B2C服务端临时问题，或IDP侧的全局配置问题

3. 调整B2C会话Cookie有效期 #

在<RelyingParty>节点下针对prompt=login场景强制会话失效：

<RelyingParty>
  <DefaultUserJourney ReferenceId="SignUpOrSignIn" />
  <UserJourneyBehaviors>
    <SingleSignOn Scope="Application" />
    <SessionExpiryType>Absolute</SessionExpiryType>
    <SessionExpiryInSeconds>0</SessionExpiryInSeconds>
  </UserJourneyBehaviors>
</RelyingParty>

注意：该配置会影响所有请求，如需仅针对prompt=login生效，可结合ClaimsTransformation动态设置会话属性

内容的提问来源于stack exchange，提问作者rkcp613