如何禁用Azure B2C登录后向联合身份提供商验证会话的机制

方案适用场景 #

你遇到的问题本质是Azure B2C默认会向上游联合IDP校验会话有效性，和不保留会话的「触发即忘」型IDP逻辑冲突，以下配置可以直接禁用该校验逻辑，完全依赖Azure B2C本地会话判断登录状态。

配置方法 #

1. 内置用户流配置 #

• 进入Azure B2C租户管理界面，打开你正在使用的对应用户流
• 进入「会话行为」配置页，找到联合标识提供者会话配置项
• 将选项设置为「从不」，保存配置即可生效
• 你可以同步调整当前用户流下的「Azure AD B2C 会话生存期」「会话超时类型」等参数，匹配业务的安全和体验要求

2. 自定义策略（IEF）配置 #

找到你定义联合OIDC IDP的技术配置文件，修改对应会话管理配置：

• 在联合OIDC IDP的<TechnicalProfile>节点下，修改<UseTechnicalProfileForSessionManagement>引用的会话管理配置
• 在对应的会话管理技术配置中，新增ValidateSessionWithIssuer元数据项并设置为false，示例如下：

<ClaimsProvider>
  <Domain>your-custom-idp.com</Domain>
  <DisplayName>Custom OIDC IDP</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="Custom-OIDC-IDP">
      <!-- 此处省略你原有OIDC IDP的其他配置 -->
      <UseTechnicalProfileForSessionManagement ReferenceId="SM-Custom-OIDC-IDP" />
    </TechnicalProfile>
    <!-- 新增/修改对应的会话管理技术配置 -->
    <TechnicalProfile Id="SM-Custom-OIDC-IDP">
      <Protocol Name="Proprietary" Handler="Web.TPEngine.SSO.OAuth2SSOSessionProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
      <Metadata>
        <!-- 核心配置：禁用向上游IDP校验会话 -->
        <Item Key="ValidateSessionWithIssuer">false</Item>
      </Metadata>
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

配置上传生效后，Azure B2C将完全跳过向联合IDP的会话验证步骤，仅以本地存储的会话Cookie作为登录状态的唯一判断依据。

测试注意事项 #

• 配置生效后建议清除浏览器缓存和现有Cookie再进行测试，避免旧会话缓存影响验证结果
• 禁用上游IDP会话校验后，所有登出逻辑也需要以Azure B2C侧的会话失效为准，不需要再同步调用上游IDP的登出接口

内容的提问来源于stack exchange，提问作者Tobb