Azure AD B2C邀请注册流程完成后如何实现用户自动登录

官方默认的invite-via-email示例策略只覆盖了邀请链接生成、用户信息写入目录的逻辑，没有在注册完成后加入会话建立、令牌签发的步骤，所以用户提交注册信息后会被打回登录页要求重新输入凭证。你提到的id_token_hint是官方推荐的标准实现路径，完全适配你现在用的Svelte + Azure Static Web App + Azure Functions技术栈，不需要重构现有流程。

核心逻辑 #

本质是在生成邀请链接时预携带一个带邀请身份校验的临时令牌，让B2C在用户完成注册信息提交、校验通过后，直接基于这个预校验的标识建立用户会话，签发应用可识别的身份令牌跳回你的业务回调地址，全程不会落到登录交互页。

落地步骤 #

• 后端（Azure Functions）修改邀请链接生成逻辑
  不要直接拼接裸的注册策略地址，生成邀请时先通过B2C客户端凭据流，为被邀请用户的邮箱签发一个和邀请有效期对齐（比如72小时）的临时id_token，claims里固定带上被邀请人邮箱、邀请标记两个字段，再把这个token作为id_token_hint参数拼到邀请链接里，必须加prompt=none参数，告诉B2C流程中不要弹出通用登录页。
  邀请链接的参数结构参考：

  https://<你的B2C租户域名>/<邀请注册策略ID>/oauth2/v2.0/authorize?
  client_id=<前端应用客户端ID>
  &response_type=id_token%20code
  &redirect_uri=<前端注册完成回调地址>
  &response_mode=fragment
  &scope=openid%20offline_access
  &id_token_hint=<预签发的临时邀请令牌>
  &prompt=none
  

• 自定义策略调整
  打开你当前使用的invite-via-email自定义策略XML文件，做两处改动：
  1. 在用户旅程的最开头新增输入声明校验步骤，把id_token_hint设为允许传入的声明，校验传入的临时令牌签名合法、未过期、携带的邀请邮箱和用户提交注册的邮箱完全一致，防止邀请链接被篡改冒用。
  2. 必须删除原旅程中注册完成后跳转登录选择页的编排步骤，在用户信息写入B2C目录的步骤（一般是LocalAccountWriteDirectory技术配置文件）之后，直接接入和你正常登录流程完全一致的JWT令牌签发步骤，注册完成后直接返回令牌。
• 前端（Svelte Static Web App）适配
  你现有的认证回调逻辑不需要做核心改动，只要保证邀请链接里填的回调地址和你正常登录的回调地址一致即可，B2C携带令牌跳回时，你现有处理登录回调、存储会话的逻辑会直接完成登录态写入，用户无感知进入登录状态。

注意事项 #

• 临时id_token_hint的有效期不要设得过长，和邀请有效期对齐即可，避免邀请链接泄露后被长期冒用。
• 令牌校验环节必须做邮箱匹配校验，否则拿到他人邀请链接的用户可以注册任意邮箱完成登录，存在安全风险。
• 如果你当前用的是B2C内置用户流而非自定义策略，目前内置用户流不支持自定义旅程编排步骤，必须切换到自定义策略才能实现该效果，没有其他可绕开的方案。

内容的提问来源于stack exchange，提问作者Lam Le