Azure B2C本地账户注册时API连接器失效问题排查求助

问题背景 #

使用Azure B2C管理用户，用户角色存储在独立数据库，计划通过API连接器将角色注入令牌声明。当前采用标准Sign up Sign in用户流（无自定义策略），已创建Azure可调用的API端点，添加自定义用户属性Roles（仅作为声明返回，不收集），并将API连接器绑定到流程的「Before including claims」环节。现有账户登录、联合身份提供商登录均正常，但本地账户注册时出现模糊错误，调试发现API端点未被调用，API日志无报错；禁用API连接器后注册流程恢复正常。

排查方向及解决方案 #

1. 验证「Before including claims」环节的触发逻辑 #

标准用户流中，「Before including claims」环节在用户身份验证完成后、令牌生成前触发。针对本地注册场景，需确认：

• 检查用户流的「User attributes」设置：确保Roles属性仅在「Return claims」中勾选，未在「Collect attributes」中选中。若配置错误，可能导致流程分支异常，跳过API调用。
• 确认注册流程完成后是否自动触发身份验证：标准用户流默认注册后自动登录，理论上应触发该环节，但某些自定义配置（如注册后需额外验证）可能导致流程中断。

2. 检查API连接器的绑定范围 #

进入用户流的API连接器配置页面，确认是否同时覆盖了登录和注册场景：

• 部分场景下可能误操作仅将API连接器绑定到登录流程，导致注册时未触发调用。需确保「Sign up and sign in」流程中，API连接器的触发范围包含注册环节。

3. 排查API连接器的输入声明依赖 #

API连接器的触发需要依赖特定输入声明（如objectId、email），本地注册时用户刚创建，可能存在声明缺失：

• 检查API连接器的「Input claims」配置：避免依赖注册流程中未生成或未传递的声明（如未收集的自定义属性）。若存在此类依赖，Azure B2C会跳过API调用，进而触发流程错误。
• 确保输入声明在注册流程中已存在：比如objectId在用户创建后立即生成，可作为可靠的输入参数。

4. 启用Application Insights深度日志排查 #

启用Azure B2C的Application Insights日志，开启详细跟踪级别，重点查看以下内容：

• 查找ClaimsExchange相关日志节点，确认是否有跳过API调用的具体原因（如前置条件不满足、声明缺失）。
• 关注Precondition字段的判断结果：若前置条件未通过，API调用会被跳过，日志中会记录具体的判断逻辑。
• 定位错误代码中的{0}（交换名称）和{1}（步骤ID），对应流程中的具体环节，进一步分析失败原因。

5. 测试API连接器的触发时机兼容性 #

尝试临时调整API连接器的绑定环节：

• 将API连接器绑定到「After sign-up」环节（若用户流支持），测试注册时是否能触发API调用，验证端点本身的可用性。
• 若「After sign-up」环节能正常调用API，说明「Before including claims」环节在注册流程中的触发逻辑存在特殊限制，可考虑调整绑定环节或补充流程逻辑。

6. 解析模糊错误的本质 #

微软文档提及的错误代码The claims exchange '{0}' specified in step '{1}' returned HTTP error response with Code '{2}' and Reason '{3}'，虽显示HTTP错误，但实际API未被调用，大概率是Azure B2C内部判断API调用无法执行，返回了模拟错误。此时需通过日志定位具体的交换名称和步骤ID，明确流程中断的节点。

内容的提问来源于stack exchange，提问作者Christophe Loeys