能否通过自定义API调用Azure AD B2C实现账号密码验证而非重定向？

核心结论 #

该方案可行，但需基于Azure AD B2C支持的ROPC（资源所有者密码凭证）授权流实现——B2C不会直接返回"认证是否通过"的布尔值，而是返回标准OAuth2令牌（ID Token、Access Token等），你可通过令牌的有效性判断认证结果。

实现要点 #

• 自定义API需向Azure AD B2C的令牌端点发送POST请求，传入用户名、密码、客户端ID、客户端密钥（机密客户端需提供）、作用域等参数
• .NET环境下的请求示例（用HttpClient实现）：

  var client = new HttpClient();
  var tokenEndpoint = "https://你的B2C租户域名.b2clogin.com/你的B2C租户域名.onmicrosoft.com/你的登录用户流ID/oauth2/v2.0/token";
  var requestContent = new FormUrlEncodedContent(new[]
  {
      new KeyValuePair<string, string>("grant_type", "password"),
      new KeyValuePair<string, string>("client_id", "你的客户端ID"),
      new KeyValuePair<string, string>("client_secret", "你的客户端密钥"),
      new KeyValuePair<string, string>("username", "用户账号"),
      new KeyValuePair<string, string>("password", "用户密码"),
      new KeyValuePair<string, string>("scope", "openid offline_access"),
      new KeyValuePair<string, string>("response_type", "id_token token")
  });
  
  var response = await client.PostAsync(tokenEndpoint, requestContent);
  var responseContent = await response.Content.ReadAsStringAsync();
  

• 响应处理：请求成功会返回包含id_token的JSON数据，代表认证通过；若返回4xx/5xx状态码或错误字段，则认证失败

关键注意事项 #

• ROPC流仅支持Azure AD B2C本地账户（用户名密码登录），不兼容社交登录账户（如Google、Facebook）
• 该流存在安全隐患：Web应用需直接处理用户密码，违背现代身份认证安全最佳实践，仅建议在无法使用重定向流的特殊场景下采用
• 需在Azure AD B2C租户中启用对应的ROPC用户流或自定义策略，同时配置客户端应用允许使用该授权流

内容的提问来源于stack exchange，提问作者Feroz