Azure AD B2C添加OIDC:ClientId至REST API后触发login-NonInteractive时用户名或密码无效

问题原因分析 #

添加{OIDC:ClientId}参数后触发login-NonInteractive报错，核心诱因可能包括：

• REST API接收client_id后未完成完整用户迁移流程，导致B2C租户中未生成对应账户，login-NonInteractive无法匹配到有效用户
• client_id声明未提前定义，或其流转过程干扰了login-NonInteractive的验证逻辑
• REST API返回的响应缺少B2C创建本地账户所需的核心用户属性，导致用户未被成功导入

解决方案 #

1. 定义client_id声明类型

在TrustFrameworkBase.xml/TrustFrameworkExtensions.xml的<BuildingBlocks>→<ClaimsSchema>中添加声明定义：

<ClaimType Id="client_id">
  <DisplayName>Application Client ID</DisplayName>
  <DataType>string</DataType>
  <UserHelpText>Unique identifier of the calling application</UserHelpText>
</ClaimType>

2. 完善REST技术配置的输出声明

修改UserMigrationViaLegacyIdp的<OutputClaims>，确保包含B2C创建账户所需的核心用户属性（需与REST API返回字段匹配）：

<OutputClaims>
  <OutputClaim ClaimTypeReferenceId="isMigrationSuccessChecked" />
  <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="email" />
  <OutputClaim ClaimTypeReferenceId="displayName" PartnerClaimType="displayName" />
  <!-- 按需添加givenName、surname等其他用户属性 -->
</OutputClaims>

3. 验证REST API的迁移逻辑

确认REST API在接收client_id后：

• 从对应数据库正确查询用户信息
• 验证用户输入的密码有效性
• 返回包含完整用户属性的200响应（避免返回404或错误状态码）
• 保证响应中的邮箱与用户输入的signInName完全一致

4. 隔离client_id声明避免干扰后续流程

在UserMigrationViaLegacyIdp中添加声明转换，移除client_id防止流入login-NonInteractive：

<OutputClaimsTransformations>
  <OutputClaimsTransformation ReferenceId="RemoveClientIdClaim" />
</OutputClaimsTransformations>

同时在<ClaimsTransformations>中添加移除逻辑：

<ClaimsTransformation Id="RemoveClientIdClaim" TransformationMethod="DeleteClaim">
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="client_id" />
  </InputClaims>
</ClaimsTransformation>

5. 确认login-NonInteractive的client_id配置

保证login-NonInteractive使用B2C策略自身的应用ID，而非传入的客户端ID：

<Metadata>
  <Item Key="client_id">{B2C:ClientId}</Item>
  <!-- 其他元数据保持不变 -->
</Metadata>

测试流程 #

1. 部署修改后的策略配置
2. 用目标应用的Client ID发起登录请求
3. 检查REST API日志，确认client_id已接收且返回完整用户信息
4. 验证login-NonInteractive步骤是否正常通过

内容的提问来源于stack exchange，提问作者Dewa Dwi