Azure AD B2C自定义策略动态LoadURI域名解析错误求助

问题背景 #

为了规避Azure AD B2C自定义策略文件数量上限（已接近200个），尝试将多个仅<LoadURI>配置不同的策略合并，通过Key Vault变量动态生成LoadURI，期望格式如下：

<LoadUri>https://{OAUTH-KV:LoadUriBase}.co.uk/{OAUTH-KV:LoadUriResource}.html</LoadUri>

但上传策略时触发the hostname could not be parsed错误，尝试过转义特殊字符、CDATA包裹、URL编码等方法均无效；而固定域名的配置（如https://anactualwebsite.co.uk/{OAUTH-KV:LoadUriResource}.html）可正常工作，确认是域名部分的变量占位符导致解析校验失败。

原因分析 #

Azure AD B2C的策略解析器会在上传阶段提前校验<LoadURI>的域名合法性，此时变量占位符尚未被替换，解析器无法识别{OAUTH-KV:LoadUriBase}.co.uk为合法域名，因此抛出错误。

可行解决方案 #

1. 多ContentDefinition动态映射 #

保留少量包含完整固定URL的ContentDefinition条目，通过用户旅程中的条件逻辑动态选择对应的ContentDefinition ID：

<ContentDefinitions>
  <ContentDefinition Id="api.signup-signin-tenantA">
    <LoadUri>https://tenantA.co.uk/signup.html</LoadUri>
    <RecoveryUri>~/common/default_page_error.html</RecoveryUri>
    <DataUri>urn:com:microsoft:aad:b2c:elements:contract:unifiedssp:2.1.5</DataUri>
    <!-- 其他配置 -->
  </ContentDefinition>
  <ContentDefinition Id="api.signup-signin-tenantB">
    <LoadUri>https://tenantB.co.uk/signup.html</LoadUri>
    <RecoveryUri>~/common/default_page_error.html</RecoveryUri>
    <DataUri>urn:com:microsoft:aad:b2c:elements:contract:unifiedssp:2.1.5</DataUri>
    <!-- 其他配置 -->
  </ContentDefinition>
</ContentDefinitions>

在用户旅程的编排步骤中，通过ClaimsTransformation生成租户标识Claim，再用<Condition>选择对应ContentDefinition：

<OrchestrationStep Order="1" Type="ClaimsExchange">
  <Preconditions>
    <Precondition Type="ClaimEquals" ExecuteActionsIf="true">
      <Value>tenantId</Value>
      <Value>tenantA</Value>
      <Action>SkipThisOrchestrationStep</Action>
    </Precondition>
  </Preconditions>
  <ClaimsExchanges>
    <ClaimsExchange Id="SetTenantAContentDef" TechnicalProfileReferenceId="SetContentDefinition-TenantA"/>
  </ClaimsExchanges>
</OrchestrationStep>

这种方式避免了域名变量，同时大幅减少策略文件数量。

2. 固定域名+前端动态加载 #

将动态部分作为查询参数传递给固定域名的页面，由前端根据参数加载对应内容：

<LoadUri>https://your-fixed-domain.co.uk/dynamic-content.html?tenant={OAUTH-KV:LoadUriBase}&resource={OAUTH-KV:LoadUriResource}</LoadUri>

前端页面通过URL参数获取tenant和resource值，再动态请求目标域名下的HTML资源（如通过AJAX加载并渲染）。此方法无需修改策略核心逻辑，仅需前端配合处理。

3. Azure Functions中间层重定向 #

配置LoadURI指向Azure Functions端点，由函数拼接目标URL并返回302重定向：

<LoadUri>https://your-function-app.azurewebsites.net/get-content?base={OAUTH-KV:LoadUriBase}&resource={OAUTH-KV:LoadUriResource}</LoadUri>

Azure Functions示例代码（C#）：

[FunctionName("GetContent")]
public static async Task<IActionResult> Run(
    [HttpTrigger(AuthorizationLevel.Anonymous, "get", Route = null)] HttpRequest req,
    ILogger log)
{
    string baseDomain = req.Query["base"];
    string resource = req.Query["resource"];
    string targetUrl = $"https://{baseDomain}.co.uk/{resource}.html";
    return new RedirectResult(targetUrl);
}

此方法无需前端修改，且策略中的URL为合法固定域名，可通过B2C的解析校验。

内容的提问来源于stack exchange，提问作者Bill