Azure AD B2C自定义流密码校验通过但提交因复杂度要求被拒

• 租户全局密码保护策略：Azure AD B2C租户层面默认启用了全局密码规则，你可以在Azure门户进入「Azure AD B2C」→「安全性」→「身份保护」→「密码保护」页面查看配置，包括是否禁止弱密码、是否启用自定义禁止密码列表、是否对本地账户生效这些规则，都会在密码提交写入目录时触发校验，优先级高于你在前端字段配置的正则。
• 自定义策略后端断言校验规则：你修改的只是注册页面前端展示的密码字段正则校验，还需要检查TrustedFrameworkBase.xml中两类技术配置文件的校验逻辑：一类是注册流程的LocalAccountSignUpWithLogonEmail等自断言技术配置文件，另一类是AAD-UserWriteUsingLogonEmail等写入目录的技术配置文件，入门包默认会在这两类配置的Predicates、InputValidations节点内置密码复杂度校验规则，只修改前端字段正则不会同步更新后端校验逻辑，就会出现前端校验通过但提交被拒的情况。
• Azure AD底层接口硬限制：就算你在自定义策略里完全放开了校验规则，调用Azure AD用户创建/更新接口时，必须满足基础密码要求：长度8-256位，不能包含用户的全名、登录名/邮箱前缀的完整匹配，这个是底层接口的固定限制，无法通过自定义策略修改。

排查时建议优先核对自定义策略的后端InputValidations节点配置，80%以上的同类问题都是因为仅修改了前端字段的regex属性，没有同步更新后端对应的断言校验规则。

内容的提问来源于stack exchange，提问作者user2864874