Azure B2C（OpenID）自定义IdP认证后跳转外部客户端流程咨询

核心需求回顾 #

我方应用用户完成登录后，自动通过Azure B2C认证，最终跳转至客户应用完成授权，无需Azure B2C重定向回我方IdP。

当前问题 #

调用Azure B2C授权端点时传入的redirect_uri指向我方IdP，导致用户完成自定义IdP认证后，B2C会默认重定向回该地址，不符合业务需求。

解决方案建议 #

方案1：直接修改授权请求的redirect_uri

这是最简洁的实现方式，无需额外定制B2C策略：

• 在步骤1调用Azure B2C授权端点时，将redirect_uri替换为客户应用在Azure B2C中已注册的回调地址。
• 调整后的示例请求：

  https://xxx.b2clogin.com/xxx.onmicrosoft.com/oauth2/v2.0/authorize?p={user_flow}&client_id=xxx&nonce=defaultNonce&redirect_uri={客户应用回调URL}&scope=openid&response_type=code
  

• 关键前提：客户应用必须在Azure B2C的应用注册界面中，预先配置该回调地址，否则B2C会拒绝授权请求。
• 流程逻辑：用户完成自定义IdP认证后，B2C会直接重定向到客户应用，客户应用可使用返回的授权码向B2C换取令牌，获取用户登录信息。

方案2：通过B2C自定义策略实现跳转

若因业务限制无法修改步骤1的redirect_uri，可通过自定义策略调整流程：

• 在B2C自定义策略的UserJourney节点中，完成自定义IdP的ClaimsExchange认证步骤后，添加一个RedirectToUrl步骤，指定客户应用的跳转地址。
• 需传递必要的状态参数（如state），确保客户应用后续调用B2C授权端点时能验证会话合法性，避免CSRF风险。

关键注意事项 #

• 禁止手动阻止B2C的默认重定向，这会破坏OAuth2/OIDC的流程完整性，引发nonce验证失败、状态不匹配等错误。
• 客户应用后续调用B2C授权端点时，可利用用户已有的B2C会话实现静默授权，无需用户重复登录。
• 全程严格验证nonce、state等安全参数，遵循OAuth2/OIDC安全规范。

内容的提问来源于stack exchange，提问作者Carravaccio