Azure AD B2C跨域资源共享（CORS）问题咨询

基于你描述的流程，以下是实际部署中可能遇到的核心问题：

1. JWT权限与受众匹配问题 #

你的Web应用（www.mySubsidiary.com）调用api.myHoldingCompany.com时，必须确保：

• API已在Azure AD B2C中注册为受保护资源，并配置了对应的访问范围（Scopes）
• Web应用的服务主体已被授予调用该API的权限（需完成管理员同意流程）
• JWT中的aud（受众）声明严格匹配API的应用标识符（Application ID URI）
• JWT中的iss（发行方）声明与API信任的B2C租户域名完全一致

以上任意一项不匹配，API都会直接拒绝请求，返回401或403错误。

2. 跨域Cookie与会话限制 #

虽然B2C重定向回子域名时会在www.mySubsidiary.com下生成会话Cookie，但需注意：

• 浏览器的第三方Cookie限制：若用户浏览器禁用第三方Cookie，B2C在重定向过程中可能无法正常传递会话状态（不过你的流程中B2C直接重定向回子域名，属于第一方Cookie场景，风险相对较低）
• Cookie的SameSite属性：建议将B2C生成的Cookie设置为SameSite=Lax或None（需配合HTTPS），避免浏览器因跨域重定向规则阻止Cookie写入

3. 跨域API调用的CORS配置（前端场景） #

如果Web应用是前端页面（如SPA）在浏览器端直接发起API请求，必须在api.myHoldingCompany.com的后端配置CORS策略，明确允许https://www.mySubsidiary.com作为合法来源。若为服务器端调用（Web应用后端发起请求），则无需考虑CORS，但需确保服务器网络能正常访问API域名。

4. DNS解析一致性问题 #

多DNS环境下，需验证所有涉及域名在各环境中的解析结果：

• 确保b2clogin.onmicrosoft.com在所有DNS环境中都能正确解析到Azure的CDN节点，避免重定向失败
• 确认www.mySubsidiary.com和api.myHoldingCompany.com的解析记录在各DNS环境中一致，防止出现部分环境无法访问的情况

5. MFA流程的会话稳定性 #

部分浏览器对跨域站点的会话有严格限制，可能导致MFA验证过程中会话丢失，建议：

• 在Azure AD B2C的用户流/自定义策略中，适当延长会话超时时间
• 启用B2C的持久会话功能，让用户在一定时间内无需重复完成MFA验证

内容的提问来源于stack exchange，提问作者Leonardo