如何使用Microsoft.Identity.Web配置多个Azure AD B2C策略

这个场景完全可以实现，你遇到的IDX10501: Signature validation failed、state为空/校验失败问题，核心是默认多认证方案配置没有处理B2C用户流的隔离逻辑，不是平台本身的限制。

问题根因 #

• 每个B2C用户流的id_token会使用对应流专属的签名密钥签发，默认配置下新增的认证方案会复用默认流的元数据和公钥缓存，用普通流的公钥校验VIP流的token，自然会报签名验证错误
• 如果多个OIDC认证方案共用同一个回调路径，中间件无法识别该用哪个方案处理回调请求，会拿默认方案的关联Cookie校验回传的state，直接触发state无效、为空的错误
• B2C不同用户流返回的issuer声明会携带当前流的标识后缀，默认的固定issuer校验逻辑会直接判定issuer不合法

正确配置步骤 #

1. 保留原有appsettings.json配置 #

你之前写的两个配置节点不需要修改，直接保留AzureAdB2C（普通流）和AzureAdB2CVIP（VIP流）两个节点即可。

2. 调整认证服务注册逻辑 #

不要直接重复调用AddMicrosoftIdentityWebApp绑定配置，需要给每个OIDC方案指定独立的标识、独立的回调路径，同时修正issuer校验逻辑，示例代码如下：

services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    // 注册默认普通用户流认证方案
    .AddMicrosoftIdentityWebApp(
        configureOptions: options => Configuration.Bind("AzureAdB2C", options),
        configureCookie: options =>
        {
            options.Cookie.Name = "MyApp.MainAuthCookie";
        },
        openIdConnectScheme: OpenIdConnectDefaults.AuthenticationScheme,
        cookieScheme: "AppAuthCookie",
        subscribeToDiagnostics: true)
    // 追加注册VIP用户流认证方案
    .AddMicrosoftIdentityWebApp(
        configureOptions: options =>
        {
            Configuration.Bind("AzureAdB2CVIP", options);
            // 关键配置1：给VIP流分配独立回调路径，不要和普通流共用
            options.CallbackPath = "/signin-oidc-vip";
            // 关键配置2：修正issuer校验逻辑，兼容B2C不同流的issuer后缀
            options.TokenValidationParameters.IssuerValidator = (issuer, _, _) => issuer;
        },
        configureCookie: options =>
        {
            // 共用同一个认证Cookie，两个流登录后身份统一存储
            options.Cookie.Name = "MyApp.MainAuthCookie";
        },
        openIdConnectScheme: "B2CVipFlow",
        cookieScheme: "AppAuthCookie",
        subscribeToDiagnostics: true);

services.AddControllersWithViews()
    .AddMicrosoftIdentityUI();

3. 更新B2C应用注册的重定向URI #

进入对应应用注册的「重定向URI」配置页，保留原有普通流的回调地址https://myapp.azurewebsites.net/signin-oidc，新增VIP流的回调地址https://myapp.azurewebsites.net/signin-oidc-vip，类型选择「Web」即可。

4. 调整VIP流的授权链接 #

你之前的VIP流授权链接需要把redirect_uri参数改成新的VIP回调地址，其他参数保持不变，修改后的VIP授权链接格式如下：

https://myapp.b2clogin.com/myapp.onmicrosoft.com/oauth2/v2.0/authorize?p=b2c_1_susi_vip&client_id=00000000-0000-0000-0000-000000000000&nonce=defaultNonce&redirect_uri=https%3A%2F%2Fmyapp.azurewebsites.net%2Fsignin-oidc-vip&scope=openid&response_type=id_token&prompt=login

验证说明 #

• 普通用户流的授权链接、登录逻辑完全不变，和你之前的可用状态一致
• VIP流发起授权后，会自动匹配到独立的OIDC方案，单独拉取VIP流的元数据、签名公钥完成校验，不会再出现签名验证错误
• 两个流登录后的用户身份都存储在同一个认证Cookie中，业务逻辑可以直接通过用户Claim里的tfp或acr字段判断用户所属的登录流，做对应的权限控制
• 不需要为VIP流单独做登出逻辑适配，统一的登出接口会自动清理认证Cookie

内容的提问来源于stack exchange，提问作者0xFF