如何通过Azure B2C自定义策略对接混合OAuth1协议遗留认证服务器？

针对你描述的遗留认证服务器联合身份验证场景，以下是具体的方案分析和选型建议：

选型判断：OAuth1 vs OIDC vs 自定义技术配置文件 #

1. OIDC技术配置文件直接排除：OIDC是基于OAuth2的身份层协议，依赖ID Token、授权码等标准组件，完全不兼容你描述的混合OAuth1自定义流程，因此不适用。
2. OAuth1技术配置文件仅适用于标准OAuth1.0a场景：如果你的遗留认证服务器严格遵循OAuth1.0a规范（包含请求令牌、授权流程、HMAC-SHA1签名验证等核心环节），可以直接使用Azure B2C内置的OAuth1技术配置文件，快速对接。但如果你的协议是自定义混合版本（比如跳过请求令牌步骤，直接由应用侧生成签名后重定向，回调返回非标准属性），则预定义的OAuth1技术配置文件无法适配。
3. 自定义技术配置文件（推荐）：针对你的自定义流程，最灵活的方案是使用Azure B2C的自定义技术配置文件，通过自定义重定向和回调逻辑适配遗留服务器的非标准协议。

自定义技术配置文件实现步骤 #

1. 定义重定向到遗留认证服务器的技术配置文件 #

该配置负责生成签名属性（对应你原流程的步骤2），并将用户重定向到遗留认证服务器的授权端点：

<TechnicalProfile Id="LegacyAuth-Redirect">
  <DisplayName>Legacy Authentication Server</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.RedirectProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="AuthorizationEndpoint">https://your-legacy-auth-server.com/auth</Item>
    <Item Key="HttpBinding">GET</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="client_id" DefaultValue="YOUR_PRECONFIGURED_APP_ID" />
    <!-- 通过ClaimsTransformation计算签名属性 -->
    <InputClaim ClaimTypeReferenceId="signed_payload" />
  </InputClaims>
  <OutputClaims>
    <!-- 预定义回调需要接收的属性 -->
    <OutputClaim ClaimTypeReferenceId="auth_server_token" />
    <OutputClaim ClaimTypeReferenceId="user_identifier" />
  </OutputClaims>
  <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
</TechnicalProfile>

2. 处理遗留认证服务器的回调 #

创建回调处理配置，验证服务器返回的属性签名，并提取用户标识：

<TechnicalProfile Id="LegacyAuth-Callback">
  <DisplayName>Legacy Auth Callback Handler</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AssertionProtocolProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="auth_server_token" />
    <InputClaim ClaimTypeReferenceId="user_identifier" />
    <InputClaim ClaimTypeReferenceId="signature" />
  </InputClaims>
  <ValidationTechnicalProfiles>
    <!-- 调用REST API验证签名，或用ClaimsTransformation本地验证 -->
    <ValidationTechnicalProfile ReferenceId="REST-LegacyAuth-Validate" />
  </ValidationTechnicalProfiles>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="user_email" />
    <OutputClaim ClaimTypeReferenceId="objectId" />
  </OutputClaims>
</TechnicalProfile>

3. 配置用户旅程 #

在用户旅程中整合上述两个技术配置文件：

• 触发LegacyAuth-Redirect将用户引导至遗留认证服务器登录
• 遗留服务器验证用户身份后，回调Azure B2C的预配置URL（格式：https://your-b2c-tenant.b2clogin.com/your-b2c-tenant.onmicrosoft.com/your-policy-name/oauth2/authresp）
• Azure B2C通过LegacyAuth-Callback验证回调参数，完成身份验证后发放令牌给应用服务器
• 应用服务器可在策略中调用REST API生成资源请求令牌，或直接使用Azure B2C令牌访问受保护资源

内容的提问来源于stack exchange，提问作者Andrew B