Azure AD B2C邮件邀请注册未跳转注册页面问题排查

根据你的描述和提供的配置，直接跳转至https://jwt.ms而不显示注册页面，核心问题在于用户旅程的执行逻辑偏离预期，以及部分技术配置文件的配置有误。以下是具体的排查和修改方向：

1. 修正用户旅程的最终Token颁发步骤 #

你的用户旅程第4步使用了JwtIdTokenHintValidator，这个技术配置文件的作用是验证ID Token Hint的签名，而非颁发最终的用户身份Token。示例中的邀请流程最终步骤应该使用常规的JwtIssuer技术配置文件（即你共享基础策略中用于登录/注册流程的那个）。

错误配置：

<OrchestrationStep Order="4" Type="SendClaims" CpimIssuerTechnicalProfileReferenceId="JwtIdTokenHintValidator"/>

修改为：

<OrchestrationStep Order="4" Type="SendClaims" CpimIssuerTechnicalProfileReferenceId="JwtIssuer"/>

这会确保B2C在完成注册步骤后，才颁发包含用户注册信息的最终Token，而不是提前返回ID Token Hint的验证结果。

2. 验证ID Token Hint的提取与验证逻辑 #

你提到使用JwtIssuer时无法验证ID Token Hint签名，因此自定义了JwtIdTokenHintValidator。需要确认用户旅程第1步的IdTokenHint_ExtractClaims技术配置文件是否正确完成以下操作：

• 成功验证ID Token Hint的签名（使用你配置的应用签名证书）
• 正确提取extension_InvitationToken声明并传递到后续步骤

如果该步骤未能正确提取声明，用户旅程第2步的预条件（检查extension_InvitationToken是否存在）会失效，导致流程异常。可以通过添加输出声明调试：

<OutputClaims>
  <OutputClaim ClaimTypeReferenceId="extension_InvitationToken" />
  <!-- 可添加其他需要提取的声明辅助调试 -->
</OutputClaims>

3. 检查注册技术配置文件的触发逻辑 #

你的注册技术配置文件LocalAccountSignUpWithInvitationToken中，InputClaims包含了email，但ID Token Hint仅提供邀请编号而非邮箱。这会导致注册页面无法预填充邮箱，但不应该直接跳过页面。需要确认：

• 该技术配置文件的Metadata中是否存在EnforceEmailVerification（设置为true仅会要求邮箱验证，不会跳过页面）
• 是否存在未显式配置的预条件，导致步骤3被跳过？
• 你提到返回的JWT包含AD已创建用户的sub值，说明B2C识别到用户已存在。如果邀请流程目标是创建新用户，需确认AAD-UserWriteUsingLogonEmail验证技术配置文件是否允许创建新用户（默认允许，但若用户已存在会抛出错误），或是否之前的测试已创建了对应邮箱的用户。

4. 确保注册页面的内容定义正确 #

确认api.localaccountsignup对应的内容定义在基础策略中正确配置，若内容定义缺失或配置错误，B2C可能会直接跳转而不显示注册页面。

5. 调试用户旅程的执行顺序 #

可以使用Azure AD B2C的策略调试工具查看每个步骤的执行情况，或在编排步骤中添加临时的自我断言技术配置文件输出声明，确认步骤3是否被实际执行。例如：

<OrchestrationStep Order="3" Type="ClaimsExchange">
  <ClaimsExchanges>
    <ClaimsExchange Id="DebugStep" TechnicalProfileReferenceId="SelfAsserted-Debug"/>
    <ClaimsExchange Id="LocalAccountSignUpWithInvitationToken" TechnicalProfileReferenceId="LocalAccountSignUpWithInvitationToken"/>
  </ClaimsExchanges>
</OrchestrationStep>

其中SelfAsserted-Debug是一个简单的自我断言技术配置文件，用于显示当前声明值，帮助你确认extension_InvitationToken是否被正确传递到注册步骤。

总结 #

最关键的问题是用户旅程最终步骤使用了错误的技术配置文件，导致B2C提前返回了ID Token Hint的验证结果，而非完成注册流程后颁发用户Token。先修正步骤4的技术配置文件，再逐步排查ID Token Hint的提取和注册页面的触发逻辑，应该就能解决问题。

内容的提问来源于stack exchange，提问作者Milad Ghafoori