通过Graph API在Azure AD B2C中限制同邮箱域名重复注册的问题

你遇到的核心问题是Azure AD B2C的Graph API对identities属性的过滤语法支持有限，无法直接使用contains或endsWith来匹配邮箱域名。以下是两种可行的解决方案：

方案一：本地过滤用户数据 #

先通过Graph API拉取用户的identities属性，再在Azure Function中本地筛选匹配目标域名的用户。这种方式无需修改B2C自定义策略，适合用户量不大的场景：

GraphServiceClient graphClient = new GraphServiceClient(authProvider);
// 定义要检查的目标域名（注意包含@符号）
string targetDomain = "@yahoo.com";

// 分页拉取用户数据，避免单次请求数据量过大
var usersPage = await graphClient.Users
    .Request()
    .Select("displayName,id,identities")
    .GetAsync();

List<User> matchingUsers = new List<User>();
do
{
    // 本地筛选符合条件的用户：匹配指定租户，且邮箱后缀为目标域名
    var filteredUsers = usersPage.Where(u => u.Identities != null 
        && u.Identities.Any(identity => 
            identity.Issuer.Equals("My B2C tenant", StringComparison.OrdinalIgnoreCase)
            && identity.IssuerAssignedId.EndsWith(targetDomain, StringComparison.OrdinalIgnoreCase)));
    
    matchingUsers.AddRange(filteredUsers);
    // 处理下一页数据
    usersPage = usersPage.NextPageRequest != null ? await usersPage.NextPageRequest.GetAsync() : null;
} while (usersPage != null);

// 判断是否存在匹配域名的用户
if (matchingUsers.Any())
{
    // 存在该域名的注册用户，执行阻止注册逻辑
}

方案二：利用自定义扩展属性存储域名（推荐用户量大的场景） #

通过在B2C自定义策略中添加扩展属性，注册时提取邮箱域名并存储，之后直接用Graph API按该属性过滤，查询效率更高：

步骤1：创建自定义扩展属性 #

在Azure AD B2C中创建一个名为domainName的自定义扩展属性（可通过Graph API或Azure门户完成，属性名称最终格式为extension_<你的B2C应用ID（去掉连字符）>_domainName）。

步骤2：修改B2C自定义策略 #

添加ClaimsTransformation提取邮箱域名，并在注册流程中存储到扩展属性：

<!-- 添加ClaimsTransformation -->
<ClaimsTransformations>
  <ClaimsTransformation Id="ExtractEmailDomain" TransformationMethod="ExtractEmailDomain">
    <InputClaims>
      <InputClaim ClaimTypeReferenceId="email" TransformationClaimType="inputEmail" />
    </InputClaims>
    <OutputClaims>
      <OutputClaim ClaimTypeReferenceId="extension_domainName" TransformationClaimType="outputDomain" />
    </OutputClaims>
  </ClaimsTransformation>
</ClaimsTransformations>

<!-- 在注册的TechnicalProfile中添加该ClaimsTransformation -->
<TechnicalProfile Id="LocalAccountSignUpWithLogonEmail">
  <InputClaimsTransformations>
    <InputClaimsTransformation ReferenceId="ExtractEmailDomain" />
  </InputClaimsTransformations>
  <!-- 确保扩展属性被持久化到用户对象 -->
  <PersistedClaims>
    <PersistedClaim ClaimTypeReferenceId="extension_domainName" />
  </PersistedClaims>
</TechnicalProfile>

步骤3：Graph API查询代码 #

直接按扩展属性过滤用户：

GraphServiceClient graphClient = new GraphServiceClient(authProvider);
string targetDomain = "yahoo.com";
// 替换为你的扩展属性完整名称
string extensionPropertyName = "extension_<your-b2c-app-id-without-hyphens>_domainName";

var users = await graphClient.Users
    .Request()
    .Filter($"{extensionPropertyName} eq '{targetDomain}'")
    .Select("displayName,id")
    .GetAsync();

if (users.Any())
{
    // 存在该域名的注册用户，执行阻止注册逻辑
}

方案对比 #

• 方案一：实现简单，无需修改B2C策略，但用户量较大时，分页拉取数据会影响性能。
• 方案二：查询效率高，适合用户量大的场景，但需要额外配置自定义策略和扩展属性。

内容的提问来源于stack exchange，提问作者silvergraphs