Azure AD B2C集成Google身份提供商登录时用户找不到问题

核心问题 #

你遇到的「用户找不到」错误，根源是联邦身份（Google）的issuerAssignedId取值错误。Azure AD B2C要求Google身份对应的issuerAssignedId必须是Google返回的用户唯一标识（即Google ID Token里的sub字段），而非用户邮箱。当用户用Google登录时，B2C会拿Google返回的sub和你创建用户时填的issuerAssignedId比对，不一致就会提示找不到用户。

另外，你改用signInNames导致404，是因为Azure AD B2C的Graph API现在统一用identities数组管理登录身份，signInNames是旧版字段，已不再支持，所以创建时会报错。

具体修复步骤 #

1. 修正联邦身份的issuerAssignedId和issuer值 #

• issuer字段：必须和你在Azure AD B2C租户里配置的Google身份提供商名称完全一致。比如你配置的提供商名称是Google，那这里就填"Google"，而非"Google-OAUTH"（可在B2C门户的「身份提供商」列表里查看准确名称）。
• issuerAssignedId字段：必须使用Google返回的用户sub值。这个值是Google对该用户的唯一永久标识，不会随邮箱变更而改变。

若要提前创建用户并关联Google身份，需先获取用户的Google sub值（比如让用户先通过Google授权一次，拿到ID Token解析出sub），再填入issuerAssignedId。示例修正后的Payload：

const b2c_user = {
      accountEnabled: user.is_active,
      displayName: user.username,
      mail: user.email,
      mailNickname: user.username,

      identities: [
        {
          signInType: "userName",
          issuer: "stg.onmicrosoft.com",
          issuerAssignedId: user.username,
        },
        {
          signInType: "emailAddress",
          issuer: "stg.onmicrosoft.com",
          issuerAssignedId: user.email,
        },
        {
          signInType: "federated",
          issuer: "Google", // 改为B2C里配置的Google提供商名称
          issuerAssignedId: "google_user_sub_value", // 替换为用户的Google sub值
        },
      ],

      userPrincipalName: `${user.username}@stg.onmicrosoft.com`,
      passwordProfile: {
        forceChangePasswordNextSignIn: false,
        password: user.password,
      },
};

2. 推荐的关联流程（更稳妥） #

如果无法提前获取用户的Google sub，建议采用以下流程：

• 先创建仅包含本地身份（userName/emailAddress）的B2C用户。
• 引导用户通过Google登录，此时B2C会检测到已有相同邮箱的本地用户，自动将Google联邦身份关联到该用户（前提是B2C的用户流/自定义策略开启了自动关联功能）。
• 或者在用户首次Google登录后，通过Graph API将联邦身份手动添加到用户的identities数组中。

3. 避免使用旧版字段 #

不要再用signInNames字段，Azure AD B2C的Graph API v1.0和beta版本都使用identities数组管理所有登录身份，旧字段已被废弃，使用会导致请求失败。

内容的提问来源于stack exchange，提问作者Mohamed Elkhayate