如何在Azure AD B2C中判断用户是否已通过社交IDP完成MFA认证？

核心结论 #

目前没有统一的标准OIDC声明可跨所有主流社交身份提供商（IDP）传递MFA完成状态，不同厂商的支持情况差异极大，需针对每个IDP单独处理。

各主流身份提供商的具体情况 #

Microsoft Entra ID（原Azure AD） #

Microsoft支持在ID令牌中返回amr（Authentication Methods Reference）声明，当该声明包含mfa值时，即表示用户已通过MFA验证。你可在Azure AD B2C自定义策略中读取此声明，以此判断是否跳过B2C自身的MFA步骤。

Apple #

Sign in with Apple目前不提供任何与用户MFA状态相关的声明，无法从返回的令牌中直接获取该信息。

Google #

截至2024年，面向普通消费者的Google OAuth2/OIDC服务仍不对外暴露用户的MFA完成状态。仅Google Workspace（原G Suite）管理员可通过内部API查询用户MFA启用状态，但该能力不适用于普通消费者账户，也无法在登录流程的令牌中直接获取。

Azure AD B2C中的实现思路 #

• 自定义策略扩展：在B2C自定义策略中针对每个IDP添加逻辑，检查对应IDP返回的特定声明（如Microsoft的amr）。若检测到MFA已完成，则跳过B2C的MFA步骤；否则触发B2C的MFA流程。
• ** fallback方案**：对于不支持返回MFA状态的IDP（如Apple、Google），只能默认强制用户在B2C中完成MFA，或通过用户属性记录历史MFA状态（此方式存在安全风险，需谨慎评估）。

注意事项 #

• 即使是支持amr声明的IDP，也需确保请求ID令牌时包含正确的范围（如Microsoft需openid范围），才能获取到该声明。
• 不同IDP的声明格式可能存在差异，需在自定义策略中针对性解析。

内容的提问来源于stack exchange，提问作者wbosland