Azure B2C密码重置用户流token过期 重置后无法直接进入应用首页

问题现象 #

• 用户进入Azure B2C密码重置页面发起重置流程
• 完成密码重置配置操作后触发应用重定向
• 重定向回应用后仍弹出凭据验证要求，返回的token过期无法直接访问应用首页
• 最终需求为用户完成密码重置后可直接进入应用仪表盘/首页

根因分析 #

• 默认配置下Azure B2C密码重置用户流完成后，仅返回密码重置成功的状态标识，不会自动发放用于登录应用的有效ID Token/访问Token
• 部分应用的身份验证逻辑默认将密码重置回调请求视为未认证状态，未对接B2C返回的重置成功上下文自动发起静默登录

可行解决方案 #

1. 调整Azure AD B2C密码重置用户流配置 #

• 进入B2C租户的「用户流」菜单，选择对应密码重置用户流
• 找到「应用程序声明」配置项，勾选用户对象ID、电子邮件等后续静默登录需要的标识声明
• 进入「会话行为」配置，开启「重置密码后颁发令牌（issue token after password reset）」选项（部分租户路径为「密码重置设置」下的「成功后返回令牌到应用」开关）

注意：启用该配置后，密码重置流程完成后B2C会直接向应用回调地址返回有效认证令牌，无需用户二次登录。

2. 应用侧身份验证逻辑适配 #

如果使用MSAL认证库，需要在配置中新增密码重置回调的处理逻辑：

• 识别B2C返回的密码重置成功的回调请求，校验返回的id_token有效性
• 有效令牌直接写入应用会话，跳过二次登录验证步骤，直接重定向到应用首页/仪表盘

示例MSAL配置（JS版）代码片段：

const msalConfig = {
  auth: {
    clientId: "你的B2C应用客户端ID",
    authority: "https://你的租户名称.b2clogin.com/你的租户名称.onmicrosoft.com/B2C_1_你的密码重置用户流名称",
    knownAuthorities: ["你的租户名称.b2clogin.com"],
    redirectUri: "你的应用回调地址",
  },
};
// 密码重置回调处理逻辑
if (window.location.href.includes("code=") || window.location.href.includes("id_token=")) {
  msalInstance.handleRedirectPromise().then(response => {
    if (response && response.idToken) {
      // 令牌有效直接写入会话，跳转首页
      sessionStorage.setItem("userToken", response.idToken);
      window.location.href = "/dashboard";
    }
  })
}

内容的提问来源于stack exchange，提问作者Keshri Sharma