将ASP.NET Identity应用迁移至Azure B2C：登录时数据迁移方案咨询

登录流程中调用自定义API的可行性 #

完全可以在Azure B2C的登录流程中接入自定义API，这是解决"无明文密码"场景下渐进式用户迁移的标准方案。你需要通过Azure B2C自定义策略来配置触发逻辑：在用户输入旧系统凭据并验证通过后，自动调用自定义API完成用户数据向Azure AD B2C的同步，全程无需明文密码传输。

具体实现步骤 #

• 配置Azure B2C自定义策略

  1. 添加ClaimsProvider节点，指向你的自定义迁移API地址，配置API的身份验证方式（如OAuth2或API密钥）
  2. 在登录用户旅程（User Journey）中插入API调用步骤：当用户通过旧系统身份验证成功后，触发API调用
  3. 定义需要从API获取的用户声明（如姓名、角色、联系方式），并将这些声明写入Azure B2C的用户档案

• 自定义迁移API核心逻辑

  1. 接收Azure B2C传递的用户名/邮箱、用户输入的密码
  2. 从旧系统数据库读取该用户的PasswordHash字段（ASP.NET Identity存储的哈希值）
  3. 使用ASP.NET Identity内置的PasswordHasher<TUser>类验证输入密码与哈希值是否匹配
  4. 验证通过后，同步用户的非密码数据（个人资料、角色等）到Azure AD B2C的用户对象
  5. 返回验证成功标识及用户声明给Azure B2C

• 重复登录处理
  在API中添加判断逻辑：通过邮箱/用户名关联新旧系统用户ID，若用户已完成迁移则直接返回成功，避免重复同步

• 应用端适配
  调整ASP.NET应用的身份验证配置，指向Azure B2C的自定义策略端点，确保应用能正确解析B2C返回的用户声明，适配原有业务逻辑

关键注意事项 #

• 密码安全：全程禁止明文密码的存储与传输，所有密码验证操作在API内部完成，仅返回验证结果
• 数据一致性：确保迁移操作的原子性，避免部分数据同步失败导致用户档案异常
• 错误处理：在自定义策略中配置API调用失败的 fallback 逻辑，例如提示用户重试或引导联系管理员
• 性能优化：对于大规模用户，可将非核心数据的同步改为异步处理，优先保证登录流程的响应速度

内容的提问来源于stack exchange，提问作者sunil babu m