在Django中实现Azure AD B2C登录后，后续操作及授权咨询

1. 后续在应用中如何利用该注册/登录功能？ #

• 获取并使用用户身份信息：从MSAL返回的id_token中解析出用户的sub（唯一标识）、邮箱、姓名等信息，用于识别当前登录用户。
• 保护受限制的视图/API：自定义认证装饰器（或结合Django的@login_required），只允许已通过Azure B2C认证的用户访问特定页面或接口。
• 提供个性化体验：根据用户身份信息展示专属内容，比如用户中心、个性化推荐，或是记录用户操作日志。
• 集成Azure生态服务：使用用户的访问令牌调用Azure其他服务（如Blob Storage、Graph API），实现无缝云服务集成。

2. 是否需要创建用户模型存储Azure返回的sub或用户ID？ #

分两种场景判断：

• 需要存储业务相关数据时：如果应用需要记录用户订单、偏好设置、业务角色等自定义数据，必须创建本地用户模型，将Azure返回的sub作为唯一关联字段（sub是用户在Azure B2C中的永久唯一标识，不会随用户信息变更而改变）。
• 纯依赖Azure身份管理时：如果应用仅需身份验证，不需要额外存储用户业务数据，可以不用创建本地模型，每次请求直接从id_token中提取sub和其他身份信息即可。

3. 能否使用框架提供的角色、组或权限？ #

可以，需要在Azure B2C和Django两端配合配置：

• Azure端配置：在Azure AD B2C的应用注册中定义应用角色，或通过Azure AD B2C的组管理功能创建用户组，将用户分配到对应角色/组中。确保在令牌配置中开启roles或groups声明，让这些信息被包含在返回的id_token里。
• Django端实现：解析id_token中的roles或groups字段，在视图中添加权限判断逻辑。比如检查用户是否拥有admin角色才允许访问后台管理页面；或是结合Django的权限系统，将Azure的角色映射到本地权限组。

4. Azure的API连接器在用户注册时的作用是什么？ #

API连接器是Azure B2C注册流程的扩展点，用于在注册过程中调用你自己的后端API，实现自定义业务逻辑：

• 验证用户信息：比如检查用户输入的邮箱是否属于企业域名、是否在黑名单中，或是验证手机号有效性。
• 同步数据到本地：注册成功后自动将用户的sub、邮箱等信息同步到应用数据库，提前完成本地用户模型的创建。
• 触发业务流程：比如发送自定义欢迎邮件、创建用户的会员账户、触发内部审批流程等。
• 修改注册流程：根据API返回的结果，决定是否允许用户完成注册，或是给用户自动分配默认角色。

5. 由于用户不由应用创建存储，应用级授权该如何实现？ #

可以通过以下几种方案实现：

• 基于Azure B2C角色/组的授权：在Azure中配置应用角色或用户组，将用户分配到对应权限组，然后在Django中解析令牌中的roles或groups声明，直接做权限判断。比如只有editor角色的用户才能编辑内容。
• 自定义权限服务：搭建独立的权限服务，以Azure返回的sub作为用户标识，存储用户对不同业务资源的权限（如“用户A可以查看文档X”）。每次请求时，调用该服务验证用户是否拥有对应权限。
• 结合Django权限系统（可选）：如果后续创建了本地用户模型，将sub与本地用户关联，然后使用Django自带的Group和Permission模型，给本地用户分配权限，复用框架的授权机制。

内容的提问来源于stack exchange，提问作者Hills