Azure B2C+ROPC流：密码重置与刷新令牌问题求助

一、获取ROPC流的刷新令牌 #

ROPC流支持返回刷新令牌，但需满足两个关键配置：

1. 添加offline_access作用域
   刷新令牌的获取必须包含offline_access作用域，它用于告知身份提供商（Azure AD B2C）你需要长期的令牌刷新权限。修改你的作用域列表，将其加入：

   // 示例：原有业务作用域加上offline_access
   var _scopesRequiredByAPI = new string[] { "https://yourtenant.onmicrosoft.com/api/access", "offline_access" };
   

2. 配置Azure AD B2C客户端应用
   在Azure门户的AD B2C客户端应用设置中：

   • 确保"允许公共客户端流"已启用（ROPC属于公共客户端流场景）
   • 检查令牌生命周期配置，确认刷新令牌有效期符合业务需求（默认90天）

完成配置后，调用AcquireTokenByUsernamePassword返回的AuthenticationResult对象中，RefreshToken属性将包含有效令牌。后续刷新令牌可通过以下代码实现：

var result = await app.AcquireTokenByRefreshToken(_scopesRequiredByAPI, refreshToken)
                      .ExecuteAsync();

二、无浏览器环境下的密码重置 #

ROPC流本身无原生无浏览器密码重置流程，但可通过Azure AD Graph API结合自定义验证逻辑实现：

步骤1：实现身份验证前置流程 #

在自有客户端应用内完成：

• 收集用户注册邮箱
• 通过系统邮件/短信服务向用户发送验证码
• 验证用户输入的验证码有效性

步骤2：调用Graph API重置密码 #

验证通过后，使用应用权限调用Graph API的Update user端点直接更新用户密码。需提前为应用授予User.ReadWrite.All应用权限（无需用户交互的权限类型）。

示例代码（使用Microsoft Graph SDK）：

var graphClient = new GraphServiceClient(new ClientCredentialProvider(clientId, clientSecret, tenantId));

// 根据邮箱查询用户ID（或直接存储用户ID在本地系统）
var user = await graphClient.Users
                           .Request()
                           .Filter($"mail eq '{userEmail}'")
                           .FirstOrDefaultAsync();

if (user != null)
{
    user.PasswordProfile = new PasswordProfile
    {
        Password = "NewSecurePass@123",
        ForceChangePasswordNextSignIn = false // 按需设置是否强制下次登录改密
    };

    await graphClient.Users[user.Id]
                    .Request()
                    .UpdateAsync(user);
}

替代方案：Azure AD B2C自定义策略 #

若依赖B2C身份系统，可创建自定义密码重置策略，通过REST API集成实现无浏览器交互：

• 定义包含密码重置步骤的用户旅程
• 客户端直接调用B2C策略端点，传递邮箱、验证码等参数（需通过自定义REST API验证验证码）
• 策略执行完成后向客户端返回确认结果

注意事项 #

• 刷新令牌需加密存储，避免泄露
• 密码重置流程必须包含强身份验证（如邮箱/短信验证码），防止恶意操作
• Graph API权限遵循最小化原则，避免过度授权

内容的提问来源于stack exchange，提问作者ManuBera