Spring Boot对接Azure AD B2C通过userinfo、tokeninfo端点验证令牌方案咨询

你可以完全沿用现有RestTemplate+全局拦截器的校验架构，仅需调整两个端点的调用逻辑即可，整体代码改动极小。 #

1. UserInfo 端点对接（几乎零改动） #

Azure AD B2C的UserInfo调用逻辑和你现有逻辑完全一致，仅需替换请求地址即可：

• 端点地址格式：https://{你的B2C租户名}.b2clogin.com/{你的B2C租户名}.onmicrosoft.com/{你配置的用户流名称}/openid/v2.0/userinfo
• 调用方式：和原有逻辑完全相同，在请求头携带Authorization: Bearer {前端传入的令牌}发起GET请求即可，返回的用户信息字段可按原有逻辑解析。

调用示例：

// 仅需替换userInfoUrl为上述B2C地址即可，其余代码完全复用
HttpHeaders headers = new HttpHeaders();
headers.set("Authorization", "Bearer " + token);
HttpEntity<Void> request = new HttpEntity<>(headers);
ResponseEntity<Map> userInfoResponse = restTemplate.exchange(userInfoUrl, HttpMethod.GET, request, Map.class);

2. TokenInfo 有效性校验对接（两种可选方案，均兼容现有逻辑） #

Azure AD B2C没有直接提供tokeninfo查询端点，你可以选择以下两种方案替换原有校验逻辑：

方案一：使用OAuth2令牌自省端点（改动最小，完全复用原有远程调用逻辑） #

Azure AD B2C支持标准OAuth2令牌自省接口，作用和你原有tokeninfo完全一致，调用后可直接返回令牌是否有效的标识：

• 端点地址格式：https://{你的B2C租户名}.b2clogin.com/{你的B2C租户名}.onmicrosoft.com/{你配置的用户流名称}/oauth2/v2.0/token/introspect
• 调用方式：改为POST请求，表单参数传入三个字段：client_id（你的后端应用在B2C注册的客户端ID）、client_secret（你的后端应用在B2C生成的客户端密钥）、token（前端传入的访问令牌）
• 有效性判断：返回结果中active字段为true则表示令牌有效，为false则无效，和原有tokeninfo的判断逻辑保持一致。

调用示例：

HttpHeaders headers = new HttpHeaders();
headers.setContentType(MediaType.APPLICATION_FORM_URLENCODED);
MultiValueMap<String, String> params = new LinkedMultiValueMap<>();
params.add("client_id", "你在B2C注册的后端应用client_id");
params.add("client_secret", "你在B2C生成的后端应用client_secret");
params.add("token", token);
HttpEntity<MultiValueMap<String, String>> request = new HttpEntity<>(params, headers);
ResponseEntity<Map> tokenValidResponse = restTemplate.postForEntity(introspectUrl, request, Map.class);
boolean isValid = Boolean.TRUE.equals(tokenValidResponse.getBody().get("active"));

方案二：本地JWT校验（性能更高，同样无需改动整体拦截流程） #

如果你不想发起远程调用校验令牌，可以将原有tokeninfo的远程调用替换为本地JWT验签逻辑，依赖spring-security-oauth2-jose组件即可完成，性能比远程调用更高，校验逻辑包括验签、过期时间校验、签发者校验、受众校验，有效性判断逻辑可直接复用。 #

整体改造点汇总 #

• 仅需在配置文件新增B2C租户、用户流、应用凭证等配置项，原有拦截器的执行流程、后续业务逻辑完全无需改动
• UserInfo调用仅替换地址即可
• TokenInfo校验按上述两种方案任选其一调整调用逻辑即可

内容的提问来源于stack exchange，提问作者IamVenkatReddy