.NET 8迁移中Azure AD B2C与本地Identity共存认证问题求助

你的核心问题是同时配置Azure AD B2C JWT认证和ASP.NET Identity时，两者的认证中间件/方案发生冲突，导致通过B2C认证后无法正常访问受保护资源。以下是具体原因和解决步骤：

原因说明 #

services.AddIdentity<IdentityUser, IdentityRole>()会自动注册Cookie认证方案，并将其设置为默认认证方案，而你手动配置的JwtBearer方案（Azure AD B2C）的优先级被覆盖或干扰，导致认证管道无法正确识别B2C颁发的JWT令牌，最终表现为资源访问失败（实际可能是认证不通过触发的隐性重定向，导致客户端收到404）。

解决步骤 #

1. 替换AddIdentity为AddIdentityCore #

使用AddIdentityCore替代AddIdentity，它仅提供Identity核心服务（UserManager、RoleManager等），不会自动配置Cookie认证中间件，避免和Azure AD B2C的JWT认证冲突：

services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(Configuration.GetValue<string>("ConnectionStrings:DefaultConnection")));

// 用AddIdentityCore替代AddIdentity，仅保留核心Identity服务
services.AddIdentityCore<IdentityUser>(options =>
    {
        options.User.RequireUniqueEmail = false;
    })
    .AddRoles<IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddDefaultTokenProviders();

2. 明确认证方案与管道配置 #

确保AddAuthentication明确设置默认认证方案为JwtBearer，同时配置认证失败时直接返回401，避免触发无效重定向导致404：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(options =>
    {
        Configuration.Bind("AzureAdB2C", options);
        // 禁用认证失败时的重定向，确保返回401而非重定向到不存在的页面
        options.Events = new JwtBearerEvents
        {
            OnAuthenticationFailed = context =>
            {
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                return Task.CompletedTask;
            }
        };
    },
    options => { Configuration.Bind("AzureAdB2C", options); });

3. 调整登录端点逻辑 #

你当前的Login端点是基于本地Identity的密码验证，但实际用户是通过Azure AD B2C的SignUpSignIn流完成认证，这个端点应该改为用户迁移逻辑（检查B2C无用户时，从本地库迁移），而非本地登录：

[HttpPost("migrate-user")]
[AllowAnonymous]
public async Task<IActionResult> MigrateUser(UserCredentials model)
{
    if (!ModelState.IsValid)
        return BadRequest(ModelState);

    // 1. 先检查Azure AD B2C中是否存在该用户（通过Microsoft Graph API查询）
    bool b2cUserExists = await CheckUserExistsInB2C(model.Email);
    if (b2cUserExists)
        return Ok("用户已存在于Azure AD B2C");

    // 2. 检查本地Identity库
    var localUser = _userManager.Users.FirstOrDefault(x => x.Email == model.Email);
    if (localUser == null || !await _userManager.CheckPasswordAsync(localUser, model.Password))
        return Unauthorized("本地用户验证失败");

    // 3. 迁移用户到Azure AD B2C（通过Microsoft Graph API创建用户）
    bool migrationSuccess = await MigrateLocalUserToB2C(localUser);
    return migrationSuccess ? Ok("用户迁移成功") : StatusCode(StatusCodes.Status500InternalServerError, "迁移失败");
}

4. 明确受保护资源的认证方案 #

为受保护的API控制器指定使用JwtBearer认证方案，避免混淆：

[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
[ApiController]
[Route("api/[controller]")]
public class TodoListController : ControllerBase
{
    // 控制器逻辑
}

关键注意事项 #

• 不要在同一管道中自动注册多个默认认证方案，这会导致认证逻辑混乱。
• 客户端的NotFound错误本质是服务端认证失败后的无效重定向，通过步骤2的配置可直接返回401，便于排查问题。

内容的提问来源于stack exchange，提问作者Shehan V