Azure B2C登录后异常跳转密码重置流问题排查求助（.NET MVC5）

针对你遇到的.NET Framework 4.5 + MVC5网站的Azure B2C登录异常，我从Azure配置、代码逻辑、用户状态三个维度整理了排查步骤：

一、先检查Azure B2C端的配置和用户状态 #

这是最容易出现一致性问题的环节，先确认配置是否符合预期：

1. 用户流/自定义策略的强制重置规则 #

• 登录Azure B2C门户，进入你的用户流（比如SignUpSignIn流），查看**"Properties"标签下的"Force password reset"**选项：如果设置为"Required"，或者自定义策略的编排步骤里添加了「检查用户是否需要重置密码」的逻辑，可能会误触发非首次用户的重置流。
• 检查自定义策略的Orchestration Steps：如果在登录成功后的步骤里，有判断emails或objectidentifier这类Claim不存在就跳转至密码重置的逻辑，会和你代码里的空Claim问题联动触发循环。

2. 用户账号的核心属性 #

找到出现问题的用户账号，在Azure B2C的Users面板查看详情：

• 检查Password profile：确认「Password expires」是否已过期，或者「Force change password on next login」是否被设为True——这个属性会强制用户每次登录都重置密码，不管是不是首次登录。
• 检查Account status：确认用户账号没有被设为「Blocked」，封禁状态可能导致登录后异常跳转。

3. 用户风险与封禁状态查询 #

你提到的用户被标记风险的情况确实存在，查看路径：

• 在用户详情页，切换到Risky sign-ins和Risk detections标签，查看是否有高风险登录记录（比如异地登录、异常设备登录），Azure B2C可能会强制高风险用户重置密码。
• 如果启用了Azure AD Identity Protection（需对应订阅），可以在该服务面板查看用户的风险级别和对应的保护策略，确认是否有强制重置的规则。

二、排查网站代码中的关键逻辑 #

结合你提供的Claim获取代码，重点关注以下几点：

1. Claim获取的上下文问题 #

你当前用ClaimsPrincipal.Current.Claims获取Claim，但在MVC5中，这个方法依赖线程上下文，有时会无法正确获取当前请求的用户身份。建议替换为：

// 在Controller中使用User.Claims（推荐）
foreach (Claim claim in User.Claims)
{
    if (claim.Type.Equals("emails", StringComparison.OrdinalIgnoreCase))
        cMail = claim.Value;
    if (claim.Type.Equals("http://schemas.microsoft.com/identity/claims/objectidentifier", StringComparison.OrdinalIgnoreCase))
        cObjectIdentifier = claim.Value;
}
// 或者在非Controller类中使用HttpContext.Current.User.Claims
foreach (Claim claim in HttpContext.Current.User.Claims)
{
    // 同上逻辑
}

替换后测试是否还会出现Claim为空的情况——这很可能是导致触发密码重置流的直接原因。

2. 令牌验证与Claim映射配置 #

检查Startup.Auth.cs中的OpenID Connect中间件配置：

• 确认TokenValidationParameters是否正确设置了ValidIssuer和ValidAudience，避免令牌验证通过但Claim无法正确解析。
• 检查用户流的**"Application claims"**配置：是否勾选了emails和objectidentifier（或oid）这两个Claim？如果没勾选，Azure B2C不会把这些Claim返回给网站，代码自然拿不到值。

3. 重定向与循环触发逻辑 #

• 找到触发密码重置流的代码逻辑：确认是不是当cMail或cObjectIdentifier为空时，就自动重定向到密码重置页面？如果是，那要先解决Claim为空的问题，同时添加兜底判断，避免无限循环（比如记录用户登录状态，避免重复触发重置）。
• 检查Session配置：确认网站启用了Session，且Session超时时间合理。如果Session丢失，可能导致后续请求重新验证身份，进而触发重置流。

4. 调试与日志补充 #

• 在登录成功后的Action中添加日志，输出所有Claim的内容，确认令牌里是否包含预期的Claim：

var claimsLog = string.Join(", ", User.Claims.Select(c => $"{c.Type}: {c.Value}"));
// 将claimsLog写入日志文件或调试窗口

• 让问题用户用浏览器开发者工具（F12）查看登录后的id_token，复制到JWT解码工具（比如本地的jwt.io离线版本）查看Claim内容，确认Azure B2C是否返回了正确的Claim。

三、测试与验证建议 #

• 手动创建测试用户，设置Force change password on next login为True，验证是否会触发同样的重置流，确认该属性的影响。
• 针对问题用户，先在Azure B2C中重置其密码并取消「Force change password」的设置，再测试登录是否恢复正常。

内容的提问来源于stack exchange，提问作者Xeven Games