Azure AD B2C如何条件性禁用邮箱验证及设置差异化用户流？

一、条件性邮箱验证方案完全可行 #

结合你已部署的Azure B2C连接器，通过自定义策略就能实现这种条件化验证逻辑，具体操作如下：

• 在自定义策略中调用你的预批准名单连接器，传入用户输入的邮箱，获取返回的isPreApproved布尔标识。
• 修改注册/登录流程里的邮箱验证步骤，加入条件判断：
  • 若isPreApproved为true，直接跳过邮箱验证环节，允许用户用该邮箱（哪怕不存在）完成注册登录。
  • 若isPreApproved为false，强制执行常规邮箱验证流程，用户必须验证邮箱有效性才能完成注册。
• 配置用户属性时，确保预批准用户的邮箱字段无需验证即可存入存储，非预批准用户的邮箱字段则必须标记为已验证状态才能完成注册流程。

二、可通过两种用户流限制未验证邮箱用户的功能 #

完全可以通过区分用户流来实现权限控制，具体思路：

• 创建两种独立的用户流（或自定义策略）：一种对应预批准未验证邮箱用户，另一种对应普通已验证邮箱用户。
• 在预批准用户流中添加自定义声明（比如custom:isUnverifiedPreApproved），并设置其值为true；普通用户流中不添加该声明或设为false。
• 应用端在用户登录后，解析ID令牌中的自定义声明，根据标识区分用户类型：
  • 对custom:isUnverifiedPreApproved为true的用户，限制其访问特定功能（比如隐藏付费模块、禁止数据修改操作等）。
  • 对普通已验证用户，开放全部功能权限。
• 也可结合Azure AD B2C的用户属性，通过条件访问策略进一步管控用户对应用资源的访问，但应用端直接做权限判断通常更灵活易维护。

内容的提问来源于stack exchange，提问作者Sam Vanhoutte