如何在Azure B2C自定义策略中将声明转换为HMACSHA256声明？

核心问题说明 #

Azure B2C内置的Hash类型声明转换仅支持无密钥的SHA系列哈希算法（如SHA-256），不支持需要共享密钥的HMACSHA256，这是你之前尝试官方方案哈希值不匹配的根本原因。针对你的场景，推荐以下两种方案：

方案一：通过自定义REST API生成HMACSHA256值 #

这是最快捷的实现方式，无需深入B2C扩展开发：

• 开发一个轻量REST服务，接收两个核心参数：需要签名的挑战内容（如用户名、时间戳等）、共享密钥。服务内部使用HMACSHA256算法计算签名，返回Base64或十六进制格式的结果。
• 在Azure B2C自定义策略中添加REST技术配置文件，将需要的声明（如用户ID、当前时间戳）和存储在B2C密钥容器中的共享密钥传递给API。
• 将API返回的签名结果映射为新的输出声明，用于后续和遗留服务的交互。
• 注意：共享密钥必须通过B2C的KeyReference引用，禁止硬编码在策略文件中，避免泄露风险。

方案二：自定义声明转换扩展（Claims Transformation） #

如果希望完全基于B2C原生流程实现，可通过扩展自定义策略的方式实现：

• 编写.NET类库，实现IClaimsTransformation接口，在TransformAsync方法中编写HMACSHA256签名逻辑：接收输入声明（挑战内容、共享密钥），计算后生成新的声明。
• 将类库部署到Azure函数或App Service，确保B2C能够访问该服务。
• 在自定义策略中配置自定义声明提供程序，引用该扩展服务，将计算后的HMAC值作为输出声明使用。

额外排查要点（解决哈希不匹配问题） #

• 确认共享密钥编码：你和遗留服务必须使用相同的编码格式（如UTF-8）将密钥转换为字节数组，若密钥是Base64编码字符串，需先解码再使用。
• 对齐挑战内容：挑战令牌的输入字段（如时间戳格式、用户标识、分隔符）必须和遗留服务要求完全一致，包括字段顺序、大小写、是否包含特殊字符等。
• 验证哈希输出格式：确认遗留服务期望的是Base64编码还是十六进制字符串，两者格式不同会直接导致匹配失败。

内容的提问来源于stack exchange，提问作者Andrew B