Azure AD B2C同一租户下Next.js与WikiJS应用单点登录问题咨询

这个需求完全可以实现，核心是利用Azure AD B2C的**单点登录(SSO)**机制，结合指定认证策略与强制SSO的请求参数，跳过重复登录和策略选择步骤。具体实现步骤如下：

1. 确认Azure AD B2C基础配置一致性 #

• 确保App1和App2均注册在同一Azure AD B2C租户下（你已满足此条件）。
• 在Azure AD B2C的用户流/自定义策略配置中，将SSO行为设置为“允许”，并保持会话过期时间的统一配置，避免租户层面强制重新认证。
• 验证App2在Azure AD B2C中的注册信息：客户端ID、回复URL(redirect URI)需与WikiJS配置的完全一致，包括协议（HTTP/HTTPS）和路径。

2. 构造带强制SSO与指定策略的跳转链接 #

在App1的跳转按钮中，不要直接指向App2首页，而是构造Azure AD B2C的授权端点请求URL，核心参数包括：

• 指定客户认证策略名称
• 传入App2的客户端ID
• 添加prompt=none参数（关键：告知AD B2C若存在有效用户会话，直接颁发令牌，不展示登录/策略选择界面）

示例URL格式：

https://<你的B2C租户域名>.b2clogin.com/<你的B2C租户域名>.onmicrosoft.com/<客户策略名称>/oauth2/v2.0/authorize?client_id=<App2客户端ID>&response_type=id_token&redirect_uri=<App2回复URL>&scope=openid%20profile&prompt=none&nonce=<随机字符串>

注意：nonce参数需生成随机值，用于防止重放攻击，确保每次请求的唯一性。

3. 适配WikiJS的认证配置 #

• 如果WikiJS支持自定义授权入口URL，直接将上述构造的URL配置为登录触发地址；若WikiJS仅支持基础Azure AD B2C配置，则在WikiJS的认证设置中固定选择客户认证策略，确保跳转后默认使用该策略完成SSO。
• 确保WikiJS的认证模块已正确配置为接收Azure AD B2C颁发的令牌，无需额外的用户交互步骤。

4. 测试与问题排查 #

• 测试前清除浏览器缓存与Cookie，避免旧会话干扰。
• 若仍出现登录界面，排查以下点：
  • App1的用户会话是否有效（可通过浏览器开发者工具查看Azure AD B2C的会话Cookie）
  • prompt=none参数是否正确传递，无拼写错误
  • 两个应用的租户ID、策略名称、客户端ID是否完全匹配
  • 是否存在跨域Cookie限制：若App1与App2域名不同，需确保浏览器允许Azure AD B2C的Cookie跨域传递（通常同一租户下的合法注册应用不会有此问题）

内容的提问来源于stack exchange，提问作者Luís Fernandes