如何实现Auth0与Azure AD B2C令牌交换以调用受保护API

核心逻辑 #

基于RFC8693 OAuth 2.0令牌交换规范，将Auth0签发的有效令牌兑换为Azure AD B2C签发的、可访问api2的有效令牌，全程无需用户二次登录。

具体落地步骤 #

• 配置Azure AD B2C可信身份提供者：在Azure AD B2C的身份体验框架（IEF）中新增Auth0作为可信声明提供者，录入Auth0的发行方标识、JWKS验签地址、允许的客户端ID等配置，让B2C可以合法校验Auth0令牌的有效性。
• 配置用户标识映射规则：由于两个体系使用同一Google邮箱作为用户唯一标识，配置B2C声明映射规则，将Auth0令牌中携带的email或Google用户ID声明，与B2C用户目录中对应账号的唯一标识绑定，确保交换令牌对应的用户身份一致。
• 扩展B2C令牌端点：在B2C的token端点新增urn:ietf:params:oauth:grant-type:token-exchange授权类型支持，也就是令牌交换的专用授权类型。
• 端侧调用流程：app1持有Auth0令牌后，向B2C的token端点发起请求，携带参数grant_type=urn:ietf:params:oauth:grant-type:token-exchange、subject_token=<Auth0访问令牌>、audience=<api2的资源ID>、scope=<api2要求的权限范围>，校验通过后即可获得B2C签发的、可直接调用api2的访问令牌。

轻量替代方案（无需调整B2C自定义策略） #

如果不想开发B2C自定义策略，可以在api2前面部署一层独立的身份代理层：

• 代理层先校验传入的Auth0令牌的签名、有效期、发行方、受众是否合法
• 校验通过后，根据令牌中的用户邮箱/ID，到B2C用户目录匹配对应用户，确认该用户拥有api2的访问权限
• 权限校验通过后，代理层直接将请求转发给api2，无需显式兑换B2C令牌，改造成本更低。

安全注意事项 #

• 令牌交换接口必须校验调用方身份，仅允许你自己的app1客户端调用，避免被恶意利用进行令牌兑换。
• 交换生成的B2C访问令牌建议设置更短的有效期，降低令牌泄露后的安全风险。
• 必须做用户标识的一致性校验，避免不同账号映射错误导致越权访问。

内容的提问来源于stack exchange，提问作者Mateen-Hussain