Azure AD B2C：能否仅通过Graph API实现自助密码重置（SSPR）？

核心结论 #

• 若使用主流公共身份提供商（如Azure AD、Okta）：部分支持API实现，但有严格安全限制；若当前提供商未开放对应API，则只能依赖Web界面。
• 若为自定义身份系统：可完全通过自研API实现。

详细说明 #

1. 公共身份提供商场景
   以Azure AD为例，目前没有直接的"一键SSPR重置"API，但用户完成身份验证（如MFA）后，可调用PATCH /me接口修改自身密码——这本质上是SSPR流程的API化实现，前提是用户已通过安全校验（比如回答密保问题、完成短信验证）。
   注意：这类接口要求用户拥有自身密码修改权限，且必须在已完成身份验证的会话中调用，无法绕过安全校验直接重置。
   若你的身份提供商未开放此类修改密码的API，那确实只能依赖官方提供的Web界面，可考虑在应用内嵌入Web视图（如iframe）来优化用户体验，避免跳转外部站点。

2. 自定义身份系统场景
   如果你是自研身份管理模块，完全可以开发专属的SSPR API：

   • 第一步：提供验证用户身份的接口（如发送验证码到邮箱/手机号、验证密保问题）
   • 第二步：验证通过后，提供重置密码的接口，接收新密码并更新用户数据
     这种方式可完全集成到应用内，无需依赖Web界面。

内容的提问来源于stack exchange，提问作者jordanvector