KeyCloak集成Azure ADB2C时出现State参数缺失报错如何解决？

Azure AD B2C侧修复方案（优先推荐） #

• 检查内置忘记密码用户流的参数透传配置：进入B2C控制台对应「忘记密码」用户流的「应用声明」配置页，勾选保留原始请求查询参数选项，默认配置下B2C不会自动透传state、nonce这类OAuth标准校验参数，手动开启后会在回调时将原始请求的所有合规参数附加到返回URL中。
• 若使用自定义策略而非内置用户流，需要在策略文件的RelyingParty配置段添加state参数的透传规则，声明该参数为需要保留的输入参数，在回调Keycloak时自动携带。
• 校验忘记密码流的回调地址配置：确认B2C侧忘记密码流绑定的回调地址，与正常登录流配置的Keycloak回调地址完全一致，地址不匹配会触发B2C的参数过滤规则，自动丢弃state等敏感参数。

Keycloak侧适配方案 #

• 测试环境临时兼容：进入Keycloak控制台的「身份提供者」→ 对应B2C的OIDC配置 → 「高级」选项卡，取消勾选验证状态参数，跳过state校验逻辑即可正常跳转，该方案会降低CSRF防护等级，不建议在生产环境使用。
• 生产环境兼容方案：基于Keycloak的身份提供者SPI开发自定义拦截逻辑，在B2C的回调请求进入核心校验逻辑前，通过请求关联的session信息映射补全丢失的state参数，既保留state校验能力，又兼容B2C的返回逻辑。
• 流程调整方案：将忘记密码流程的触发端改为前端应用，用户完成密码重置后直接跳转回Keycloak登录页，而非调用Keycloak的身份代理回调端点，从流程上规避state校验逻辑。

优先选择ADB2C侧的参数透传配置方案，完全符合OAuth 2.0标准规范，不会降低身份验证流程的安全性。

内容的提问来源于stack exchange，提问作者CloudSpace03