Azure AD B2C中ROPC流登录报500 OData错误

问题背景 #

尝试通过Azure AD B2C的ROPC（资源所有者密码凭据）流实现登录，遵循官方文档配置自定义策略，仅对步骤4中的ValidTokenIssuerPrefixes是否应设为https://sts.windows.net/存疑，但未修改该值就部署了策略。发送以下REST请求后收到500错误，响应提示OData error：

请求内容：

POST /<tenant-name>.onmicrosoft.com/B2C_1A_ROPC_Auth/oauth2/v2.0/token HTTP/1.1
Host: <tenant-name>.b2clogin.com
Content-Type: application/x-www-form-urlencoded

username=contosouser.outlook.com.ws&password=Passxword1&grant_type=password&scope=openid+bef22d56-552f-4a5b-b90a-1988a7d634ce+offline_access&client_id=bef22d56-552f-4a5b-b90a-1988a7d634ce&response_type=token+id_token

排查及解决步骤 #

• 修正ValidTokenIssuerPrefixes配置
  Azure AD B2C自定义策略中，ValidTokenIssuerPrefixes必须设置为https://<tenant-name>.b2clogin.com/，而非https://sts.windows.net/。sts.windows.net是标准Azure AD的颁发者前缀，不适用于B2C环境，配置错误会触发令牌验证失败，导致500错误。

• 修正请求参数

  1. username格式错误：示例中的contosouser.outlook.com.ws不符合规范，需使用正确的用户标识，比如contosouser@<tenant-name>.onmicrosoft.com或用户注册时的邮箱/用户名。
  2. response_type参数错误：ROPC流中无需指定response_type=token+id_token，该参数适用于授权码流等场景，ROPC流通过grant_type=password直接获取令牌，可移除该参数，或仅保留id_token。

• 重新部署策略
  修改ValidTokenIssuerPrefixes后，重新上传并部署自定义策略，确保配置生效。

• 修正后的请求示例

POST /<tenant-name>.onmicrosoft.com/B2C_1A_ROPC_Auth/oauth2/v2.0/token HTTP/1.1
Host: <tenant-name>.b2clogin.com
Content-Type: application/x-www-form-urlencoded

username=contosouser@<tenant-name>.onmicrosoft.com&password=Passxword1&grant_type=password&scope=openid+bef22d56-552f-4a5b-b90a-1988a7d634ce+offline_access&client_id=bef22d56-552f-4a5b-b90a-1988a7d634ce

内容的提问来源于stack exchange，提问作者Amrit Anand