Azure AD B2C配置Secure Auth为IDP遇Hardstopped by Analyze Engine报错

报错信息：Hardstopped by Analyze Engine
该报错是Secure Auth侧内置风险分析引擎的硬拦截提示，和Azure AD B2C前端页面渲染逻辑无关。当B2C发起的OIDC授权请求到达Secure Auth端点后，会先经过分析引擎做合法性、风险校验，只要命中任意拦截规则就会直接终止流程，不会走到后续的账号校验、授权码下发环节。
常见触发场景分三类：

• OIDC协议参数不匹配：参考通用OIDC、GitHub配置模板操作时，很容易忽略Secure Auth的特殊校验要求，比如重定向URI和Secure Auth侧登记值不完全一致（Azure AD B2C的回调地址固定格式为https://<B2C租户名>.b2clogin.com/<B2C租户ID>/oauth2/authresp，末尾多斜杠、http/https写错、租户ID填错都会触发）、client_id/客户端密钥填错、签名算法配置不一致（比如B2C侧选RS256但Secure Auth侧强制要求HS256）、scope缺少Secure Auth要求的必填项、response_type不符合Secure Auth支持的授权码模式要求。
• 风险规则命中：测试出口IP在Secure Auth的威胁IP库、请求UA被标记为恶意爬虫、短时间重复发起授权请求触发频率限制、请求携带的cookie/指纹信息命中欺诈规则。
• 应用配置异常：Secure Auth侧创建的OIDC应用未启用、未开放授权码模式权限、未关联对应用户目录，分析引擎会直接将请求判定为非法访问拦截。

• 抓取完整授权请求核对参数：打开浏览器F12开发者工具，勾选「保留日志」，触发B2C跳转Secure Auth的流程，在网络面板找到指向Secure Auth /authorize 端点的跳转请求，导出完整URL、请求头、参数，逐一核对client_id、redirect_uri、response_type、scope四个核心字段和Secure Auth侧登记值是否完全一致，注意不要忽略字符串前后的空格、末尾斜杠这类细节。
• 查Secure Auth侧拦截日志：登录Secure Auth管理后台，筛选报错时间点的审计/拦截日志，Analyze Engine的所有拦截操作都会记录具体命中的规则ID、拦截原因，这是定位问题最准确的依据，不要靠猜测排查。
• 核对两端加密配置：确认B2C侧填写的Secure Auth OIDC元数据地址（发现文档地址）是对应环境的正确地址，没有混用测试/生产环境配置；核对ID Token签名、用户信息接口的加密算法要求，确认两端配置一致，客户端密钥没有复制错、没有多余换行或空格。
• 做最小场景排除测试：切换到手机热点等非公司内网环境、用浏览器无痕模式清除缓存后重试，排除IP、本地缓存触发的规则拦截；测试环境可临时下调对应OIDC应用的风险引擎拦截等级，确认是否为规则误拦截。

• 参数不匹配场景：修正所有不一致的配置项，重定向URI必须保证两边完全一字不差；B2C侧的OIDC IDP配置不要随意修改默认的响应模式、响应类型，保持默认code响应类型、form_post响应模式即可。
• 加密配置错误场景：重新从Secure Auth后台拷贝正确的客户端密钥、元数据地址，两端对齐签名算法，优先选择RS256非对称签名算法，减少对称密钥配置错误概率。
• 风险规则拦截场景：在Secure Auth侧将B2C服务的出口IP段、测试IP加入白名单，针对该OIDC应用调整请求频率阈值适配B2C的请求量级，确认请求合法的前提下关闭针对该应用的爬虫检测、UA拦截规则。
• 应用配置异常场景：在Secure Auth后台启用对应OIDC应用，开启授权码流程权限，关联需要使用的用户目录，确认应用状态为正常启用。

内容的提问来源于stack exchange，提问作者user1100472