能否通过NextAuth向Azure AD B2C传入邮箱密码？及认证异常咨询

这种实现方式不可行，原因如下：

NextAuth的AzureADB2CProvider默认采用的是OAuth2/OpenID Connect的授权码流程，这个流程的核心就是引导用户跳转到Azure B2C的官方登录页完成认证，并不支持直接通过signIn函数传入邮箱密码来完成后端认证。你传入的email和password参数会被忽略，所以系统才会直接跳转到Azure的登录页面。

如果想实现自定义登录页+直接传入密码认证的需求，需要改用Azure AD B2C的资源所有者密码凭据（ROPC）流程，并通过NextAuth的CredentialsProvider来手动实现认证逻辑，具体步骤如下：

步骤1：在Azure B2C中配置ROPC用户流 #

1. 登录Azure门户，进入你的B2C租户
2. 创建新的用户流，选择资源所有者密码凭据类型，完成基础配置

步骤2：配置NextAuth的CredentialsProvider #

替换原有的AzureADB2CProvider，改用自定义的凭据提供者：

import CredentialsProvider from "next-auth/providers/credentials";
import jwt from "jsonwebtoken";

export const authOptions = {
  providers: [
    CredentialsProvider({
      name: "Azure AD B2C 密码登录",
      credentials: {
        email: { label: "邮箱", type: "email" },
        password: { label: "密码", type: "password" }
      },
      async authorize(credentials) {
        if (!credentials?.email || !credentials?.password) return null;

        // 调用Azure B2C的ROPC令牌端点
        const tokenEndpoint = `https://${process.env.AD_B2C_Client_Tenant_Name}.b2clogin.com/${process.env.AD_B2C_Client_Tenant_Name}.onmicrosoft.com/${process.env.AD_B2C_Client_PrimaryUserFlow_SignIn}/oauth2/v2.0/token`;
        
        const response = await fetch(tokenEndpoint, {
          method: "POST",
          headers: { "Content-Type": "application/x-www-form-urlencoded" },
          body: new URLSearchParams({
            client_id: process.env.AD_B2C_Client_AppId,
            client_secret: process.env.AD_B2C_Client_Client_Secret,
            grant_type: "password",
            username: credentials.email,
            password: credentials.password,
            scope: `openid offline_access ${process.env.AD_B2C_Client_AppId}/user.read`,
            response_type: "id_token token"
          })
        });

        const data = await response.json();
        // 认证失败返回null
        if (!response.ok || !data.id_token) return null;

        // 解析ID Token获取用户信息
        const userInfo = jwt.decode(data.id_token);
        // 返回用户信息及令牌，用于后续会话管理
        return {
          ...userInfo,
          accessToken: data.access_token,
          refreshToken: data.refresh_token
        };
      }
    })
  ],
  // 可选：配置会话回调，处理令牌刷新逻辑
  session: { strategy: "jwt" },
  callbacks: {
    async jwt({ token, user }) {
      // 首次登录时保存令牌
      if (user) {
        token.accessToken = user.accessToken;
        token.refreshToken = user.refreshToken;
        token.id = user.sub;
      }
      return token;
    },
    async session({ session, token }) {
      // 将令牌注入会话，供前端使用
      session.user.id = token.id;
      session.accessToken = token.accessToken;
      return session;
    }
  }
};

步骤3：修改前端登录代码 #

调用signIn时指定使用credentials提供者：

const result = await signIn("credentials", {
  email: email,
  password: password,
  redirect: true,
});

注意事项 #

• ROPC流程不支持多因素认证（MFA），也无法用于通过社交账号注册的用户，仅适用于Azure B2C本地账户
• 必须确保你的Azure B2C应用已启用ROPC流程权限
• 需要自行处理令牌过期后的刷新逻辑，可通过NextAuth的JWT回调实现

内容的提问来源于stack exchange，提问作者Bill Trik