基于Azure AD的.NET应用如何程序化触发MFA以执行特定操作？

你的代码仅触发了普通的身份验证挑战流程，未向Azure AD传递强制MFA的指令，因此只会重定向而不会要求用户重新完成MFA。要实现目标，需在AuthenticationProperties中添加特定参数，明确告知Azure AD必须要求用户完成MFA验证。

修正后的代码 #

public async Task<IActionResult> RequireMFA()
{
    var authProperties = new AuthenticationProperties
    {
        RedirectUri = "/Authenticate",
        Items =
        {
            // 强制用户重新发起认证流程，触发MFA验证
            { "prompt", "login" },
            // 声明需要MFA认证的身份方法参考值
            { "claims", "{\"id_token\":{\"amr\":{\"values\":[\"mfa\"]}}}" }
        }
    };

    return Challenge(authProperties, OpenIdConnectDefaults.AuthenticationScheme);
}

参数说明 #

• prompt=login：强制Azure AD忽略现有会话状态，要求用户重新完成身份验证流程，包含MFA步骤（前提是租户已为用户配置MFA策略）。
• claims参数：通过JSON格式指定身份令牌必须包含amr（Authentication Method Reference）为mfa的声明，明确约束此次认证必须通过MFA完成。

额外注意事项 #

• 确保Azure AD租户已为目标用户或组配置了MFA策略，否则即使添加参数也不会触发MFA验证。
• 若无需用户重新输入用户名密码，仅需强制MFA，可尝试将prompt设为"none"配合claims参数，但该方式仅在用户会话有效但未完成MFA时生效，可靠性不如prompt=login。
• 可通过Azure AD登录日志查看认证请求，确认是否已正确传递MFA要求的参数。

内容的提问来源于stack exchange，提问作者abdeniz