Azure AD B2C自定义ROPC流程需验证client_secret的方案咨询

针对你遇到的这个问题——默认ROPC机密客户端流程只验证client ID不校验client_secret，而你需要仅限特权客户端使用该流程——确实可以通过自定义策略的扩展配置来实现，下面是几个实用的思路：

1. 添加客户端凭据验证的自定义步骤 #

你可以在ROPC的TechnicalProfile中插入一个专门验证client_secret的ValidationTechnicalProfile，让B2C在处理ROPC请求前先校验客户端的密钥。

首先，定义一个用于验证client_secret的TechnicalProfile：

<TechnicalProfile Id="ValidateClientSecret">
  <DisplayName>Validate Client Secret</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.AzureActiveDirectoryProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="Operation">Read</Item>
    <Item Key="RaiseErrorIfClaimsPrincipalDoesNotExist">true</Item>
  </Metadata>
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="client_id" />
    <InputClaim ClaimTypeReferenceId="client_secret" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="objectId" PartnerClaimType="objectId" />
  </OutputClaims>
  <UseTechnicalProfileForSessionManagement ReferenceId="SM-Noop" />
</TechnicalProfile>

然后，在你的ROPC核心TechnicalProfile（比如ResourceOwnerPasswordCredentials）中添加这个验证步骤：

<ValidationTechnicalProfiles>
  <ValidationTechnicalProfile ReferenceId="ValidateClientSecret" />
</ValidationTechnicalProfiles>

这样当客户端发起ROPC请求时，B2C会先校验client_id和client_secret的匹配性，不通过的话直接返回错误，拒绝后续流程。

2. 改用客户端证书认证（更安全的替代方案） #

如果觉得client_secret的安全性不够，你可以配置客户端使用证书认证替代密钥。在自定义策略中开启客户端证书验证后，只有持有合法证书的客户端才能发起ROPC请求，这比client_secret更安全，同时也能达到“仅限特权客户端使用”的目的。

你只需要在应用注册中上传客户端证书，然后在自定义策略的客户端TechnicalProfile中配置证书验证的元数据即可。

3. 结合客户端角色权限控制 #

你还可以给特权客户端分配专属的应用角色，然后在自定义策略中添加逻辑，检查发起请求的客户端是否拥有该角色，只有通过检查的客户端才能继续执行ROPC流程。

具体来说，你可以在读取客户端信息的TechnicalProfile中获取应用角色声明，然后添加ClaimsTransformation来验证角色是否存在，不存在则终止流程。

这些方案都不会影响ROPC流程“无重定向”的特性，完全适配TV App这类无法跳转网页的应用场景。

内容的提问来源于stack exchange，提问作者julianomontini