Azure AD B2C在Visual Studio中登录失败，跳转至已发布应用报错

针对你遇到的「配置API Connector后本地登录跳转到已发布应用，出现Unable to unprotect the message. State.错误」的问题，以下是直接可落地的排查和解决步骤：

1. 分离本地与生产环境的Azure AD B2C应用注册 #

不要让本地开发和生产应用共用同一个Azure AD B2C应用：

• 单独创建一个开发环境专用的应用注册（例如命名为YourApp-Dev），生产环境保留原有应用。
• 两个应用的回复URL、客户端ID、密钥完全独立，彻底避免会话状态、回调地址的冲突。

2. 检查并修正回复URL配置 #

无论是否分环境，确保Azure AD B2C应用的回复URL列表包含本地环境的正确地址：

• 本地地址格式为https://localhost:xxxx/signin-oidc，其中xxxx是VS运行项目时使用的端口号（需和项目启动配置一致）。
• 生产环境的回复URL（如https://yourapp.azurewebsites.net/signin-oidc）也要单独添加，不要覆盖本地地址。

3. 修正本地应用的配置文件 #

打开本地项目的appsettings.json，确认AzureAdB2C节点配置正确：

"AzureAdB2C": {
  "Instance": "https://yourtenant.b2clogin.com/",
  "ClientId": "你的开发环境应用Client ID",
  "Domain": "yourtenant.onmicrosoft.com",
  "SignUpSignInPolicyId": "B2C_1_SignUpSignIn",
  "RedirectUri": "https://localhost:5001/signin-oidc" // 与Azure AD B2C中配置的本地回复URL完全一致
}

• 确保ClientId是开发环境应用的ID，而非生产环境的。
• 如果使用了客户端密钥，也要替换为开发应用的密钥。

4. 清除会话缓存 #

• 清除浏览器中.b2clogin.com域名下的所有Cookie，避免旧的生产环境会话残留干扰本地回调。
• 清理本地项目的bin和obj目录，重启Visual Studio后重新生成解决方案。

5. 检查用户流与API Connector的关联 #

• 确认你配置API Connector的用户流，关联的是开发环境的应用注册（如果已分环境），而非生产应用。
• 检查用户流的「回复URL设置」，确保指向的是本地应用的回调地址，未被API Connector配置意外修改。

6. 启用详细日志排查 #

在本地appsettings.json中开启认证相关的调试日志，获取更具体的错误信息：

"Logging": {
  "LogLevel": {
    "Microsoft.AspNetCore.Authentication": "Debug",
    "Microsoft.Identity.Web": "Debug"
  }
}

运行项目后查看VS输出窗口，可找到关于「无法解密状态参数」的详细原因，比如密钥不匹配、状态参数过期等。

内容的提问来源于stack exchange，提问作者Greg Gum