Azure AD B2C自定义策略用自定义属性时验证失败问题排查

1. 自定义属性命名与声明一致性检查 #

• 确认Azure AD B2C UI创建的自定义属性名称，和ClaimSchemas中声明的名称完全匹配（含大小写）。比如UI中创建extension_UserDepartment，ClaimSchema里不能写成extension_userDepartment。
• 核对ClaimSchema的DataType与UI中设置的类型一致，比如UI选String，ClaimSchema不能设为Boolean。

2. B2C扩展应用ID配置准确性 #

• 验证AAD-Common中配置的b2c-extensions-app应用ID是否为不带版本号的纯客户端ID（即Application (client) ID，而非Object ID）。
• 确保所有引用扩展属性的地方，都使用了正确的前缀格式：extension_{移除连字符的应用ID}_属性名，比如应用ID是1234-5678，要写成extension_12345678_UserDepartment。

3. 技术配置文件属性映射与持久化检查 #

• 检查自助注册技术配置文件（如LocalAccountSignUpWithLogonEmail）中，自定义属性的输入声明是否正确，Required属性设置是否符合需求（设为true时用户必须填写，否则触发验证错误）。
• 验证验证自助注册的技术配置文件（如AAD-UserWriteUsingLogonEmail）中，自定义属性的输出声明PartnerClaimType是否对应正确的扩展属性名，且PersistedClaims列表中包含该属性。

4. 策略文件上传与依赖顺序 #

• 确认上传顺序正确：先传基础文件（如TrustFrameworkBase.xml），再传扩展文件（TrustFrameworkExtensions.xml），最后传依赖扩展文件的注册/登录策略文件。若基础文件更新，需重新按顺序上传。
• 检查扩展文件是否存在XML语法错误，比如标签未闭合、属性引号不匹配，这类错误会导致策略加载失败，间接引发验证错误。

5. 扩展应用权限配置 #

• 确认b2c-extensions-app已被授予Directory.ReadWrite.All的应用权限（非委派权限），且完成了管理员同意。权限不足会导致无法持久化自定义属性，触发验证错误。

调试建议 #

• 启用Azure AD B2C的应用洞察日志，查看具体错误详情，日志会明确验证失败的具体原因（如属性格式错误、权限不足等）。
• 简化策略：暂时移除自定义属性，测试基础注册流程是否正常。若基础流程正常，再逐步添加自定义属性定位问题点。

内容的提问来源于stack exchange，提问作者Joel