能否将ASP.NET Core登录路由至不同Azure B2C策略并动态选择？

当然支持在运行时根据数据库存储的用户属性动态切换Azure B2C认证策略，下面是具体的实现方案：

核心思路 #

通过拦截OpenID Connect的认证重定向事件，根据用户属性（从数据库读取）替换默认的B2C策略名称，从而实现动态选择。

具体实现步骤 #

1. 配置多策略信息 #

先在appsettings.json中配置所有需要用到的B2C策略，比如客户和代理各自的登录策略：

"AzureAdB2C": {
  "Instance": "https://yourtenant.b2clogin.com/",
  "Domain": "yourtenant.onmicrosoft.com",
  "ClientId": "your-client-id",
  "SignedOutCallbackPath": "/signout/B2C_1_SignUpSignIn",
  "CustomerPolicyId": "B2C_1_Customer_SignUpSignIn",
  "AgentPolicyId": "B2C_1_Agent_SignUpSignIn"
}

2. 拦截认证请求动态替换策略 #

在Program.cs（.NET 6+）或Startup.cs（旧版本）中配置Azure AD B2C认证时，利用OnRedirectToIdentityProvider事件修改认证请求的目标策略：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(options =>
    {
        builder.Configuration.Bind("AzureAdB2C", options);
        options.Events = new OpenIdConnectEvents
        {
            OnRedirectToIdentityProvider = async context =>
            {
                // 从数据库读取当前用户的类型（这里假设已登录用户的标识可通过User.Identity.Name获取）
                string userType = await FetchUserTypeFromDb(context.HttpContext.User.Identity?.Name);
                
                // 根据用户类型替换策略
                string targetPolicy = userType == "Agent" 
                    ? builder.Configuration["AzureAdB2C:AgentPolicyId"] 
                    : builder.Configuration["AzureAdB2C:CustomerPolicyId"];

                context.ProtocolMessage.IssuerAddress = context.ProtocolMessage.IssuerAddress
                    .Replace(options.DefaultPolicy, targetPolicy);

                await Task.CompletedTask;
            }
        };
    });

3. 未登录用户的策略引导 #

如果用户还未登录，可以通过不同的登录入口（比如代理登录页、客户登录页）指定对应的策略：

public class AccountController : Controller
{
    private readonly IConfiguration _config;

    public AccountController(IConfiguration config)
    {
        _config = config;
    }

    public IActionResult AgentLogin()
    {
        var authProps = new AuthenticationProperties
        {
            RedirectUri = "/Agent/Dashboard",
            Items = { { "policy", _config["AzureAdB2C:AgentPolicyId"] } }
        };
        return Challenge(authProps, OpenIdConnectDefaults.AuthenticationScheme);
    }

    public IActionResult CustomerLogin()
    {
        var authProps = new AuthenticationProperties
        {
            RedirectUri = "/Customer/Profile",
            Items = { { "policy", _config["AzureAdB2C:CustomerPolicyId"] } }
        };
        return Challenge(authProps, OpenIdConnectDefaults.AuthenticationScheme);
    }
}

然后在OnRedirectToIdentityProvider事件中优先读取这个自定义的策略参数：

OnRedirectToIdentityProvider = async context =>
{
    // 优先使用登录请求中指定的策略
    if (context.Properties.Items.TryGetValue("policy", out var requestedPolicy))
    {
        context.ProtocolMessage.IssuerAddress = context.ProtocolMessage.IssuerAddress
            .Replace(options.DefaultPolicy, requestedPolicy);
    }
    else if (context.HttpContext.User.Identity?.IsAuthenticated == true)
    {
        // 已登录用户则从数据库获取属性切换策略
        string userType = await FetchUserTypeFromDb(context.HttpContext.User.Identity.Name);
        string targetPolicy = userType == "Agent" 
            ? builder.Configuration["AzureAdB2C:AgentPolicyId"] 
            : builder.Configuration["AzureAdB2C:CustomerPolicyId"];

        context.ProtocolMessage.IssuerAddress = context.ProtocolMessage.IssuerAddress
            .Replace(options.DefaultPolicy, targetPolicy);
    }

    await Task.CompletedTask;
}

注意点 #

• 数据库查询要保证性能，避免拖慢认证流程。
• 确保Azure B2C租户中已创建并配置好所有用到的策略，且应用拥有对应策略的访问权限。
• 对于未登录用户，建议通过明确的入口区分策略，避免自动判断带来的逻辑复杂问题。

内容的提问来源于stack exchange，提问作者Jason Hyland