基于用户邮箱自动引导登录至对应IDP的实现咨询

一、无需前端预传domain_hint的自动Home Realm Discovery（HRD）方案 #

针对你无法在登录前获取用户身份的场景，可以基于B2C IEF的内置能力改造默认HRD流程，实现用户输入邮箱后自动检测域名并跳转，无需额外点击：

1. 添加邮箱收集与域名提取逻辑

   • 在策略中定义ExtractDomainFromEmail声明转换，通过StringSplit操作将输入的邮箱按@分割，提取第二部分作为域名。
   • 在用户旅程的首个编排步骤中，使用SelfAssertedAttributeProvider仅收集用户邮箱（无需输入密码），完成后调用上述声明转换提取域名。

2. 配置条件跳转规则

   • 添加新的编排步骤，设置前置条件：当提取的域名匹配你的企业域名（如yourcompany.com）时，执行SendClaims操作，直接跳转至Azure IDP的技术配置。
   • 若域名不匹配，则继续执行后续的本地注册/登录步骤，展示默认的用户名密码表单。

3. 适配Azure IDP配置

   • 在Azure IDP的技术配置中，自动填充domain_hint参数为你的企业域名，确保跳转后直接进入对应租户的登录流程，无需用户再次选择。

这种方案完全基于B2C IEF的原生能力实现，属于合规的官方支持方案，且未来添加其他社交IDP时，只需扩展前置条件的域名判断规则即可。

二、本地登录环节检测域名的备选方案 #

若上述HRD方案暂时无法部署，可通过自定义登录UI实现域名检测：

• 在符合B2C规则的自定义登录页面中，监听邮箱输入框的表单提交事件。
• 提取输入的邮箱域名，若匹配企业域名：
  • 自动触发Azure IDP登录按钮的点击事件，实现跳转；
  • 或禁用本地登录表单，显示提示文本：请使用Azure按钮登录该邮箱。
• 需确保自定义JS遵循B2C的内容安全策略（CSP），避免被拦截。

关键注意事项 #

• 两种方案均能满足合规要求：企业域名用户强制通过Azure IDP登录（继承Azure的MFA规则），外部用户走本地流程（无MFA），无需维护两套独立的MFA机制。
• 优先选择第一种HRD方案，避免前端临时逻辑带来的维护风险与绕过可能。

内容的提问来源于stack exchange，提问作者Ian Gooding