MSAL 2.x 同Azure AD B2C租户下不同策略返回跨策略认证结果咨询

问题解答 #

1. 关于跨策略复用认证结果的判断

你的判断完全正确。Azure AD B2C 默认的 SSO 逻辑是租户级的，只要用户在当前租户下完成过任意用户流的身份认证，且两个用户流的身份校验要求无本质差异（比如都无需二次验证、用户属性采集规则一致），B2C 就会直接复用已有的用户会话生成新策略对应的令牌，不会重新走当前策略的声明生成流程，这就是你看到令牌 tfp 字段匹配 SPA2 策略、但实际声明内容还是 SPA1 策略数据的核心原因。

2. 跨策略声明污染的解决方案

有两种不需要修改业务逻辑的方案可以解决这个问题：

• B2C 侧配置调整（最推荐）：进入 Azure 门户找到对应的两个经典用户流，依次打开「属性」-「会话行为」-「单一登录配置」，将 SSO 作用域从默认的「租户」修改为「策略」。配置完成后，每个不同 ID 的用户流会生成完全独立的 SSO 会话，不会跨策略复用，直接就能恢复 MSAL 0.x 版本下不同策略独立认证的行为。
• MSAL 侧补充校验：如果暂时不方便调整 B2C 配置，可以在 acquireTokenSilent 返回令牌后，除了校验 tfp 字段，额外校验两个策略独有的标识声明，匹配失败时直接调用 loginRedirect 强制触发完整的策略认证流程，绕过会话复用逻辑。

更新问题回复 #

• 导出应用 Manifest 对排查这个问题没有额外帮助，该问题是 B2C 默认 SSO 会话规则导致的，和策略本身的配置无关，不需要上传脱敏后的 Manifest 数据。
• B2C 会话复用的判断依据是身份校验要求的匹配度，而非单纯的策略 ID，只要当前策略不需要用户补充新的身份凭证、采集新的用户属性，就会直接复用现有会话的声明集合，没有公开的量化标准判断声明差异的触发阈值，直接调整 SSO 作用域是最稳妥的隔离方案。
• 不需要额外调整 MSAL 的配置项，只要完成上述 B2C 侧 SSO 作用域的修改，B2C 就会自动将策略 ID 作为 SSO 会话的判断依据，完全恢复旧版本的独立认证行为。

内容的提问来源于stack exchange，提问作者G Mac