Azure中登录令牌转Access Token的方案选型咨询（含低代码选项）

业内常见方案 #

• Azure AD B2C + 用户/自定义流：专门适配内外用户身份场景，内部用户通过Azure AD实现SSO登录，外部用户强制MFA验证，直接生成符合要求的JWT。Logic Apps可直接集成该JWT做身份验证，只需在B2C中完成应用注册与权限配置即可。
• Azure API管理（APIM）：将APIM作为身份验证网关，前端传入的登录令牌（SSO/MFA生成）经APIM处理，通过配置OAuth2.0授权服务器指向Azure AD，自动完成令牌转换为Access Token的流程，还能自定义JWT格式适配Logic Apps需求，全程以可视化配置为主。
• Azure Function + MSAL：针对需要高度自定义逻辑的场景（比如令牌转换时加业务校验、自定义Claims），用MSAL库对接Azure AD的令牌端点实现交互，支持C#、Python、JavaScript等多语言，并非限定C#。

C#+MSAL+Azure Function是否为必须？ #

不是。这个方案仅适用于低代码方案无法覆盖的复杂业务场景，比如需要在令牌转换过程中嵌入特殊业务规则、自定义令牌校验逻辑等。如果只是基础的令牌转换、身份验证适配，低代码方案完全能满足需求。

快捷低代码替代选项 #

• Azure AD B2C：配置用户流快速实现内外用户身份验证，内部用户通过Azure AD联合登录（SSO），外部用户启用MFA，直接生成Logic Apps可识别的JWT。无需编写代码，仅需在B2C控制台完成应用注册、权限范围配置。
• Azure APIM：在APIM中配置OAuth2.0授权服务器与令牌转换策略，前端请求经过APIM时自动完成令牌转换，直接输出Logic Apps所需的Access Token。通过APIM的可视化策略编辑器即可完成配置，几乎不用写代码。
• Logic Apps内置身份验证：Logic Apps的HTTP连接器支持Azure AD OAuth身份验证，若前端已获取符合要求的登录令牌，可直接在连接器中配置身份验证参数，无需额外搭建令牌转换服务，直接实现API访问的身份验证。

内容的提问来源于stack exchange，提问作者Jason_Hough