Azure B2C结合原生生物识别传签名声明登录的可行性咨询

完全可行，你提到的思路（原生生物识别验证后传递签名输入声明到Azure B2C自定义策略，跳过用户名/密码界面）是Azure B2C自定义策略支持的典型场景，和你找到的WingtipGames邀请流程示例核心逻辑一致——都是通过可信预验证的输入声明跳过默认身份收集步骤，直接完成身份认证。

1. 原生端完成生物识别与签名生成 #

• 继续使用原生库实现Face ID/Touch ID验证，确保本地身份校验通过。
• 生成包含核心身份信息的输入声明，比如：
  • userId：与Azure B2C中存储的用户ID匹配的唯一标识符
  • authTimestamp：生物识别验证的时间戳（用于防重放攻击）
  • 用存储在系统安全容器（iOS Keychain/Android Keystore）中的应用私钥，对上述信息签名得到biometricSignature，确保声明不可篡改。

2. 配置Azure B2C自定义策略 #

• 定义输入声明：在策略的<ClaimsSchema>中添加需要接收的声明，示例：

  <ClaimType Id="userId">
    <DisplayName>User ID</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  <ClaimType Id="authTimestamp">
    <DisplayName>Authentication Timestamp</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  <ClaimType Id="biometricSignature">
    <DisplayName>Biometric Signature</DisplayName>
    <DataType>string</DataType>
  </ClaimType>
  

• 添加签名验证技术配置文件：创建调用后端API的技术配置文件，或者直接用证书在策略内验证签名，确保传入的声明未被篡改且生物识别验证有效。示例（调用API验证）：

  <TechnicalProfile Id="ValidateBiometricSignature">
    <DisplayName>Validate Biometric Signature</DisplayName>
    <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RestfulProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
    <Metadata>
      <Item Key="ServiceUrl">https://your-api-domain.com/validate-biometric-signature</Item>
      <Item Key="SendClaimsIn">Body</Item>
    </Metadata>
    <InputClaims>
      <InputClaim ClaimTypeReferenceId="userId" />
      <InputClaim ClaimTypeReferenceId="authTimestamp" />
      <InputClaim ClaimTypeReferenceId="biometricSignature" />
    </InputClaims>
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="userId" />
    </OutputClaims>
    <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
  </TechnicalProfile>
  

• 调整用户旅程：修改默认登录用户旅程，跳过用户名/密码收集步骤，直接进入签名验证环节，验证通过后颁发令牌。示例：

  <UserJourney Id="SignInWithBiometrics">
    <OrchestrationSteps>
      <!-- 步骤1：接收输入声明 -->
      <OrchestrationStep Order="1" Type="ClaimsExchange">
        <ClaimsExchanges>
          <ClaimsExchange Id="GetInputClaims" TechnicalProfileReferenceId="IdTokenHint_ExtractClaims" />
        </ClaimsExchanges>
      </OrchestrationStep>
      <!-- 步骤2：验证生物识别签名 -->
      <OrchestrationStep Order="2" Type="ClaimsExchange">
        <ClaimsExchanges>
          <ClaimsExchange Id="ValidateSignature" TechnicalProfileReferenceId="ValidateBiometricSignature" />
        </ClaimsExchanges>
      </OrchestrationStep>
      <!-- 步骤3：颁发令牌 -->
      <OrchestrationStep Order="3" Type="SendClaims" CpimIssuerTechnicalProfileReferenceId="JwtIssuer" />
    </OrchestrationSteps>
  </UserJourney>
  

3. 原生端传递声明到Web View #

将签名后的输入声明通过id_token_hint（推荐方式）或者查询参数传递给Azure B2C自定义策略的授权端点，示例URL结构：

https://your-b2c-tenant.b2clogin.com/your-b2c-tenant.onmicrosoft.com/B2C_1A_signin_biometrics/oauth2/v2.0/authorize?client_id=your-client-id&response_type=id_token&redirect_uri=your-redirect-uri&scope=openid&nonce=random-nonce&id_token_hint=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

• 密钥管理：用于签名的私钥必须存储在系统安全容器中，禁止硬编码到应用包内。
• 签名验证：必须在Azure B2C后端或你的API完成签名验证，不能仅依赖客户端验证，防止应用被篡改后绕过生物识别。
• 防重放：通过时间戳限制声明的有效期（比如5分钟内），API验证时检查时间戳是否在有效范围内。

内容的提问来源于stack exchange，提问作者Erkan Y.