Liferay 7.4作为SP通过OpenID Connect对接Azure B2C时登录报错问题

你遇到的问题核心是Liferay未按照授权码流规范执行code换令牌的步骤，直接解析授权端点返回的code为访问令牌，绝大多数情况由配置错误导致，可按以下步骤排查修复：

1. 修正认证流配置 #

• 进入Liferay控制面板 → 配置 → 实例设置 → 安全 → 单点登录 → OpenID Connect Provider
• 找到你配置的Azure B2C对应的提供方条目，点击编辑
• 确认认证流选项选择的是授权码流（Authorization Code Flow），不要选择混合流或者隐式流。误选隐式流会直接触发Liferay跳过code换令牌的逻辑，直接解析返回的code参数为令牌，是该问题最常见的诱因。

2. 校验令牌端点配置 #

• 确认填写的令牌端点URL完全符合Azure B2C对应用户流的端点要求，注意必须携带用户流参数（如p=B2C_1_signinsignup），不可直接使用Azure AD通用令牌端点。
• 确认令牌端点的认证方式选择正确：Azure B2C优先适配客户端密码POST认证方式，不要选择无认证或其他不兼容的认证类型。

3. 核对重定向URI一致性 #

• 确认Azure B2C应用注册中填写的Liferay重定向URI，与Liferay OpenID Connect提供方配置的重定向URI完全一致，路径后缀固定为/c/portal/login/openidconnect，需确保域名、HTTP/HTTPS协议、端口所有字段完全匹配，不一致会导致Liferay发起code换令牌请求时被Azure B2C拒绝，触发异常处理逻辑误解析code。

4. 开启调试日志定位深层问题 #

如果以上配置校验无误仍报错，可通过日志定位具体错误点：

• 进入Liferay控制面板 → 服务器管理 → 日志级别
• 添加以下类别的日志级别为DEBUG：
  • com.liferay.portal.security.sso.openid.connect.internal
  • com.nimbusds.oauth2.sdk
• 复现登录问题后，查看Liferay日志目录下的liferay.*.log文件，确认code换令牌的请求是否正常发出、Azure B2C返回的具体报错内容，针对性调整配置即可。

内容的提问来源于stack exchange，提问作者Esteban Sandoval