Azure AD B2C中AddMicrosoftIdentityUserAuthenticationHandler无法正常工作

这个AddMicrosoftIdentityUserAuthenticationHandler扩展方法是支持Azure AD B2C的，但需要针对B2C的特性做针对性配置，不能直接套用Azure AD的示例代码，以下是关键要点和配置示例：

核心配置适配点 #

• 必须明确指定B2C的用户流/自定义策略：在配置Handler时，要通过TokenAcquisitionOptions.Policy设置你的B2C策略ID（比如注册时定义的SignUpSignIn策略）。
• 关联B2C认证方案：默认B2C的认证方案为AzureADB2CDefaults.AuthenticationScheme，需要在Handler配置中指定该方案，避免请求发送到Azure AD通用端点。
• 配置正确的API范围：必须使用B2C中注册API时定义的完整范围格式（例如https://{your-tenant}.onmicrosoft.com/{api-name}/{scope-name}）。
• 确保身份认证基础配置正确：先通过AddMicrosoftIdentityWebAppAuthentication配置好B2C的基础认证，同时启用EnableTokenAcquisitionToCallDownstreamApi并添加令牌缓存（比如内存缓存）。

简化配置示例（.NET 6 Program.cs） #

// 配置B2C身份认证
builder.Services.AddMicrosoftIdentityWebAppAuthentication(builder.Configuration, "AzureADB2C")
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddInMemoryTokenCaches();

// 注册带自动令牌管理的HttpClient
builder.Services.AddHttpClient("auth_client")
    .AddMicrosoftIdentityUserAuthenticationHandler(options =>
    {
        // 添加目标API的完整范围
        options.Scope.Add("https://yourtenant.onmicrosoft.com/your-api/access_as_user");
        // 指定B2C认证方案
        options.AuthenticationScheme = AzureADB2CDefaults.AuthenticationScheme;
        // 设置B2C策略ID
        options.TokenAcquisitionOptions.Policy = builder.Configuration["AzureADB2C:SignUpSignInPolicyId"];
    });

控制器使用示例 #

private readonly IHttpClientFactory _httpClientFactory;

public YourApiClientController(IHttpClientFactory httpClientFactory)
{
    _httpClientFactory = httpClientFactory;
}

public async Task<IActionResult> CallDownstreamApi()
{
    var client = _httpClientFactory.CreateClient("auth_client");
    var response = await client.GetAsync("https://your-api-endpoint.com/api/resource");
    
    response.EnsureSuccessStatusCode();
    var content = await response.Content.ReadAsStringAsync();
    return Ok(content);
}

常见错误排查 #

• 未指定B2C策略：导致令牌请求发送到Azure AD端点而非B2C策略专属端点，引发认证失败。
• 范围格式错误：必须使用B2C中注册API时的完整范围值，不能简写。
• 令牌缓存未配置：未添加令牌缓存会导致每次请求都重新获取令牌，甚至引发重复认证问题。

内容的提问来源于stack exchange，提问作者jcaddy