关于ASP.NET Core应用集成Azure B2C magic links实现外部临时用户认证的流程咨询

你完全不需要手动校验id_token——ASP.NET Core的Azure AD B2C认证中间件可以帮你搞定所有校验工作，并且自动为这类临时用户创建已认证会话，之后你就能通过Claims来控制他们的访问权限了。下面是具体的实现步骤和注意事项：

核心思路 #

Azure B2C返回的id_token是符合OIDC规范的，ASP.NET Core的OIDC认证中间件（也就是你已经配置的B2C认证中间件）完全可以识别并验证它。只要配置正确，中间件会自动完成：

• 验证id_token的签名有效性
• 检查Issuer（签发者）是否为你的B2C租户
• 确认Audience（受众）是否匹配你的应用客户端ID
• 验证token的有效期
• 把token中的声明解析为ClaimsPrincipal，自动建立用户会话

具体实现步骤 #

1. 确保认证中间件配置正确 #

首先，确认你在Program.cs（或Startup.cs）里的B2C认证中间件已经包含了魔法链接对应的自定义策略的配置。比如：

builder.Services.AddAuthentication(AzureADB2CDefaults.AuthenticationScheme)
    .AddAzureADB2C(options =>
    {
        builder.Configuration.Bind("AzureAdB2C", options);
        // 确保这里包含魔法链接使用的自定义策略名称
        options.DefaultPolicy = "MagicLinkSignInPolicy";
        // 若有多个策略，可添加额外的策略映射
        options.PolicyOptions.AdditionalPolicies.Add("MagicLinkSignInPolicy", 
            policy => policy.ForwardDefault = AzureADB2CDefaults.AuthenticationScheme);
    });

2. 处理魔法链接的回调请求 #

当用户点击魔法链接跳转到你的应用时，请求URL里的id_token会被中间件自动捕获。你只需要确保回调路径（一般是/signin-oidc，可在B2C自定义策略里配置）已经被中间件处理。

中间件验证通过id_token后，会自动创建用户会话，此时User.Identity.IsAuthenticated会返回true。

3. 通过Claims配置受限访问 #

你可以在魔法链接的自定义策略中添加一个自定义声明（比如user_access_type，值为temporary），用来标记这是临时访问用户。然后在应用里配置授权策略，只允许带有这个声明的用户访问特定页面：

配置授权策略

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("TemporaryAccessOnly", policy =>
        policy.RequireClaim("user_access_type", "temporary"));
});

在控制器/页面上应用策略

[Authorize(Policy = "TemporaryAccessOnly")]
public IActionResult TemporaryAccessPage()
{
    // 仅临时用户能访问的页面逻辑
    return View();
}

4. 关键注意事项 #

• 不要关闭核心验证：确保中间件的TokenValidationParameters没有禁用ValidateIssuer、ValidateAudience、ValidateLifetime这些关键校验，它们是防止伪造token的核心保障。
• 自定义策略要包含必要声明：在魔法链接的自定义策略中，务必在输出声明里添加你需要用来识别临时用户的信息（比如自定义访问类型声明、用户邮箱），这样中间件才能把这些信息加入到ClaimsPrincipal中。
• 控制会话有效期：可以通过中间件配置临时用户的会话有效期，避免临时权限过长。比如在AddAzureADB2C的配置里设置Cookie.ExpireTimeSpan。

总结 #

利用ASP.NET Core的认证中间件是最安全、最符合框架规范的做法，不需要手动处理token校验的细节。只要配置好中间件和自定义策略的声明，就能轻松实现临时用户的受限访问。

内容的提问来源于stack exchange，提问作者Torsten