能否硬编码Azure B2C用户流URL？直接使用的风险有哪些？

能不能硬编码测试阶段的用户流URL？ #

可以临时硬编码测试用的UpdatePhoneUserFlow URL来验证功能，但仅限测试场景。测试时的URL结构大致如下：

https://<你的租户名>.b2clogin.com/<你的租户名>.onmicrosoft.com/UpdatePhoneUserFlow/oauth2/v2.0/authorize?client_id=<现有应用的client-id>&nonce=defaultNonce&redirect_uri=<现有应用的redirect-uri>&scope=openid&response_type=id_token&prompt=login

你可以复用已有的登录类应用的client_id和redirect_uri生成测试链接，但这种方式绝对不能用于生产环境。

跳过代理应用直接硬编码的风险 #

• 敏感参数泄露风险：URL里的client_id、redirect_uri等参数如果随邮件扩散，攻击者可篡改redirect_uri指向钓鱼站点，诱导用户完成验证后窃取身份凭证，引发账号安全问题。
• URL失效风险：Azure B2C的用户流URL可能因租户域名变更、用户流重命名、平台版本迭代而失效，硬编码后需要手动更新所有邮件链接，维护成本极高，极易出现遗漏导致用户无法正常访问。
• 违反流程规范与合规要求：Azure B2C的官方设计要求通过注册的应用发起用户流请求，硬编码绕过这一流程不符合OAuth2.0授权规范，可能违反Azure B2C使用条款，同时也难以满足GDPR等数据合规对身份验证来源可追溯、可管控的要求。
• 用户体验割裂：没有代理应用做中转，用户完成电话号码更新后会直接跳转到redirect_uri指定的地址，无法添加自定义的成功提示、业务引导等逻辑，导致用户体验不连贯。
• 排查问题难度大：所有请求直接来自邮件链接，无法通过代理应用统一收集日志、监控用户操作行为，出现问题时很难快速定位是用户流配置错误、链接参数问题还是用户操作异常。

内容的提问来源于stack exchange，提问作者sy-huss