Azure AD B2C自定义用户属性更新时出现Resource不存在异常

核心排查点 #

1. 确认扩展属性名称格式是否正确 #

自定义属性的命名规则是extension_{无横杠的应用ID}_属性名，这里的应用ID必须是B2C租户中的b2c-extensions-app的AppId（创建自定义属性时自动关联的系统应用，不能用其他业务应用的ID）。

• 错误诱因：如果_extensionAttributeId包含横杠，或者用了错误的应用ID，会导致属性名称无效，触发“资源不存在”的错误。
• 验证步骤：
  1. 调用GET /applications?$filter=displayName eq 'b2c-extensions-app'&$select=appId获取正确的AppId。
  2. 移除AppId中的所有横杠，拼接成标准格式的属性名，比如extension_abc123def456_role。

2. 检查权限是否满足更新要求 #

获取用户仅需User.Read权限，但更新用户属性必须具备写权限：

• 委派权限：Directory.AccessAsUser.All（需用户登录且管理员已同意权限）
• 应用权限：User.ReadWrite.All（需管理员同意权限）
• 错误诱因：权限不足时，Graph可能返回误导性的“资源不存在”错误，而非明确的权限报错。

3. 验证属性值类型匹配 #

确保roleName的类型和你在Azure AD B2C中创建的role属性类型完全一致：

• 若属性为字符串类型，roleName必须是字符串；若为枚举类型，必须传入枚举定义内的有效值。
• 快速测试：用Graph Explorer发送PATCH请求验证

  PATCH https://graph.microsoft.com/v1.0/users/{userId}
  Content-Type: application/json
  
  {"extension_正确属性名": "你的角色值"}
  

  若请求成功，问题出在代码层面；若同样报错，继续排查属性名称或权限。

4. 绕过SDK直接测试HTTP请求 #

Microsoft Graph SDK 5.x偶尔会对AdditionalData的处理存在异常，可直接发送HTTP请求验证：

using System.Net.Http.Headers;
using System.Text;

var httpClient = new HttpClient();
httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", "你的访问令牌");

var requestUrl = $"https://graph.microsoft.com/v1.0/users/{userId}";
var patchContent = new StringContent(
    $"{{\"extension_正确属性名\": \"{roleName}\"}}", 
    Encoding.UTF8, 
    "application/json"
);
var response = await httpClient.PatchAsync(requestUrl, patchContent);
response.EnsureSuccessStatusCode();

若该请求成功，说明SDK的AdditionalData处理存在问题，建议升级到最新稳定版的Graph SDK。

内容的提问来源于stack exchange，提问作者aknag