如何通过OIDC将多个IdP联合至Azure B2C实现无交互身份认证

该场景完全可以实现用户无需重复输入凭据即可访问服务，核心是打通Azure B2C与合作方自有IdP的单点登录链路，结合不同嵌入形态做适配即可，不需要用户二次完成账号密码输入操作。

基础联邦配置要求 #

首先要把合作方IdP和Azure B2C的联邦认证逻辑从「每次跳转强制要求登录」改成「优先复用现有会话」：

• 在Azure B2C中配置合作方OIDC IdP时，不要强制覆盖联邦认证请求的prompt参数，保留默认的会话检测逻辑，不要固定传prompt=login强制要求用户输入凭据
• 要求合作方在自有IdP侧开启会话保持：用户首次登录合作方自有应用时，IdP种下会话级或持久化的登录Cookie，后续收到Azure B2C发起的认证请求时，先检测本地是否存在该用户的有效登录会话，存在则直接跳过登录页，返回授权码完成联邦认证流程
• Azure B2C侧的用户流/自定义策略不要开启「每次认证强制重新输入凭据」的选项，B2C自身的会话保持时长要和合作方IdP的会话有效期对齐

WebView嵌入场景适配 #

针对用WebView承载你方功能的合作方应用，核心是确保登录态Cookie能在流程中被正常读取：

• 要求合作方进入你方功能模块时，复用和自有应用登录时完全相同的WebView实例，不要新开存储隔离的私有WebView，否则合作方IdP种下的登录Cookie无法被读取，就会触发二次登录
• 移动端适配要求：iOS端使用WKWebsiteDataStore.default()非隔离存储的WebView实例，不要用临时隔离的data store；安卓端开启WebView的Cookie持久化和同步能力，禁止用隐私模式加载你方页面
• 跨域嵌入适配：在Azure B2C和你方服务的响应头里配置X-Frame-Options允许对应合作方的域名嵌入，同时把合作方IdP域名加入Cookie的SameSite白名单，避免浏览器拦截第三方Cookie导致会话读取失败；如果浏览器对第三方Cookie限制严格，可以让合作方通过同域代理的方式转发B2C认证请求，规避跨域Cookie限制

API直连场景适配 #

针对成熟度高、直接走API调用你方服务的合作方，完全不需要走前端重定向的认证流程，用令牌交换逻辑即可实现无感知登录：

• 用户首次登录合作方自有应用后，合作方应用已经拿到了自有IdP签发的用户有效ID令牌
• 合作方调用你方服务前，直接把这个自有IdP签发的有效令牌传给Azure B2C的令牌兑换端点，B2C校验令牌的签名、签发方、受众、有效期均合法后，直接签发对应你方服务资源的访问令牌返回给合作方
• 全程没有页面跳转，也不需要用户做任何操作，令牌校验通过即可访问服务，这部分逻辑可以通过Azure B2C自定义策略的JWT校验颁发行人配置实现，不需要额外开发复杂逻辑

• 令牌交换场景必须严格做令牌合法性校验，只接受你方提前完成联邦配置的合作方IdP签发的令牌，禁止接受未授信来源的令牌，避免伪造令牌越权访问
• 如果合作方应用有退出登录操作，要同步调用Azure B2C的登出端点清除B2C侧会话，避免出现账号登出后仍能访问你方服务的安全问题
• 会话续期逻辑要和合作方对齐，合作方IdP侧会话过期时，B2C侧的会话也要同步失效，避免出现登录态不一致的问题

内容的提问来源于stack exchange，提问作者Alvaro Lopez