如何参照AWS Cognito用法用Azure AD实现用户注册登录、API认证及自定义UI

核心服务选型 #

你需要的用户注册登录、API认证、自定义UI能力，对应Azure生态内的Azure AD B2C服务，能力完全对标AWS Cognito用户池：

• 原生支持本地账号的注册、登录、密码找回全流程，也支持第三方身份提供商接入
• 内置标准JWT令牌签发、校验能力，可直接用于API认证场景
• 支持完全自定义登录、注册页面的UI/UX，无需使用默认的微软样式页面

核心功能实现步骤 #

1. 用户注册/登录流程搭建 #

• 先创建Azure AD B2C租户，根据你的业务复杂度选择配置用户流（低代码快速配置，适合常规场景）或者自定义策略（灵活度高，适合复杂身份流程场景），账号密码存储、校验逻辑全部由B2C托管，和Cognito用户池逻辑一致。
• 前端对接使用官方msal.js库即可，基础初始化示例：

const msalConfig = {
  auth: {
    clientId: "你的B2C应用客户端ID",
    authority: "https://<租户名称>.b2clogin.com/<租户名称>.onmicrosoft.com/<自定义用户流名称>",
    knownAuthorities: ["<租户名称>.b2clogin.com"]
  }
};
const msalInstance = new msal.PublicClientApplication(msalConfig);

• 触发登录调用msalInstance.loginPopup()或loginRedirect()方法即可，注册流程可以单独配置注册用户流，也可以直接在登录流中内置注册入口。

2. 自定义UI配置 #

• 按照你的业务需求写完登录、注册页的HTML/CSS/JS代码，托管到可公网访问的静态资源位置。
• 给静态资源服务配置CORS规则，允许B2C域名访问你的静态资源。
• 在B2C控制台的对应用户流「页面布局」设置中，填写你的自定义页面URL，保留B2C要求的表单占位标签，B2C会自动注入对应的注册、登录交互逻辑，不需要改动你已有的UI样式。

3. API认证实现 #

• 在B2C租户内注册你的API应用，定义业务需要的权限范围（Scope）。
• 前端登录时请求对应API的Scope，成功后会拿到id_token（用户身份信息）和access_token（API访问凭证）。
• 后端API直接使用对应语言的B2C校验中间件完成令牌校验，比如Node.js用passport-azure-ad，Java用azure-spring-boot-starter-active-directory-b2c，配置好租户ID、应用ID即可自动完成令牌合法性校验，不需要自己编写JWT校验逻辑。
• 校验通过后可直接从令牌中提取用户ID、自定义属性等信息用于业务逻辑处理。

常见配置说明 #

• 密码复杂度规则、自定义用户属性、验证码规则都可以直接在B2C用户流配置中修改，不需要调整业务代码。
• Web、App、小程序等多端场景都可以使用对应端的MSAL SDK对接，流程和Web端一致。
• 用户数据导出、删除等合规需求B2C都内置了对应接口支持。

内容的提问来源于stack exchange，提问作者Anand Jha