使用Azure AD B2C时，能否通过Azure Graph API验证Facebook令牌？

完全可以实现你的需求！Azure AD B2C原生支持集成Facebook这类社交身份提供商，并且会帮你自动完成Facebook令牌的验证工作——不需要你自己手动去验证，同时结合自定义登录/注册页面的场景也完全适配。下面分点给你讲清楚细节和操作步骤：

一、核心可行性说明 #

• Azure AD B2C作为身份管理系统，本身就设计了与第三方身份提供商（IDP）的集成能力，Facebook是官方支持的IDP之一。当用户通过Facebook登录时，B2C会直接与Facebook交互，验证其返回的令牌有效性（包括签名、有效期、受众匹配等），验证通过后再生成B2C自己的身份令牌返回给你的网站。
• 你使用自定义登录/注册页面的场景完全兼容，B2C允许你通过自定义HTML页面触发社交登录流程，整个验证过程由B2C后台处理，不需要你的代码介入令牌验证环节。

二、具体实现步骤（结合自定义登录页） #

1. 配置Facebook作为B2C的身份提供商 #

• 先在Facebook开发者平台创建一个应用，获取对应的App ID和App Secret，同时配置有效的回调URL（格式为https://<你的B2C租户>.b2clogin.com/<你的B2C租户>.onmicrosoft.com/oauth2/authresp）。
• 登录Azure门户，进入你的B2C租户，在“身份提供商”菜单下添加Facebook，填入刚才获取的App ID和App Secret，保存配置。

2. 在自定义登录页面中添加Facebook登录按钮 #

• 在你的自定义HTML登录页面里，添加一个触发B2C社交登录流程的按钮。点击按钮时，跳转到B2C的授权端点，并指定idp=facebook参数，示例URL如下：

  https://<你的B2C租户>.b2clogin.com/<你的B2C租户>.onmicrosoft.com/<你的用户流ID>/oauth2/v2.0/authorize?client_id=<你的应用ID>&response_type=code+id_token&redirect_uri=<你的网站回调URL>&scope=openid+profile&state=<随机状态值>&nonce=<随机随机值>&idp=facebook
  

• 用户点击这个链接后，会被引导到Facebook的登录界面，登录成功后Facebook会将授权码发送给B2C，B2C自动完成Facebook令牌的验证，然后生成B2C的ID令牌/访问令牌返回给你的网站后端。

3. 后端处理B2C令牌 #

• 你的网站后端不需要直接处理Facebook的令牌，只需要接收B2C返回的令牌，然后用B2C的公钥验证该令牌的有效性即可（可以使用Microsoft Identity Client这类官方库简化验证流程）。

三、Azure Graph API的角色说明 #

你提到使用Graph API是因为自定义登录/注册页面，这里需要明确：Graph API不能直接用来验证Facebook令牌，它的作用主要是：

• 查询或管理B2C中的用户数据（比如查看用户关联的Facebook身份信息，或者手动创建/更新用户账户）
• 管理B2C的用户流、身份提供商配置（不过这类操作通常在Azure门户中更直观）
• 当用户首次通过Facebook登录时，B2C会自动在租户中创建对应的用户账户，你可以通过Graph API后续对该账户进行自定义操作。

四、额外注意事项 #

• 确保在Facebook应用中配置了必要的权限（比如public_profile、email），这样B2C才能获取用户的基本信息来创建账户。
• 自定义登录页面需要引入B2C的官方脚本（如https://<你的B2C租户>.b2clogin.com/<你的B2C租户>.onmicrosoft.com/<你的用户流ID>/selfAsserted/js/selfAsserted.js），确保社交登录流程能正常触发。
• 如果你的业务需要调用Facebook的API，可以在B2C用户流中开启“返回身份提供商令牌”选项，这样B2C会将Facebook的访问令牌包含在响应的idp_access_token字段中，供你后续使用。

内容的提问来源于stack exchange，提问作者Premier