.NET 5.0后端Web API实现Azure AD B2C认证报错问题求助

核心问题说明 #

1. 404报错是因为B2C OpenID元数据地址拼接错误，根源是配置文件中策略字段名不符合约定，生成的元数据地址没有携带正确的用户流策略参数
2. 返回HTML登录页是因为API默认继承了网页认证的跳转逻辑，认证失败时会重定向到B2C登录页，而非返回401状态码

解决方案 #

步骤1：修正appsettings.json配置

修正字段命名和多余符号：

"AzureAdB2C": {
    "Instance": "https://xxxxxx.b2clogin.com/",
    "ClientId": "xxxx-xxx-xxx-xx-xxxx",
    "Domain": "xxxxxx.onmicrosoft.com",
    "SignUpSignInPolicyId": "B2C_1_testsusi",
    "TenantId": "Tenant-xxx-xxx-xxx-xxxxxxID"
}

修改点：

• 将SigninPolicyId改为微软Identity库约定的SignUpSignInPolicyId字段名
• 删除Domain末尾多余的斜杠

步骤2：修改Startup.cs认证配置

添加认证失败拦截逻辑，避免跳转登录页：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(
        options =>    
        {
            Configuration.Bind("AzureAdB2C", options);
            options.TokenValidationParameters.NameClaimType = "name";
            // 禁用认证跳转，返回401 JSON响应
            options.Events ??= new JwtBearerEvents();
            options.Events.OnChallenge = async context =>
            {
                context.HandleResponse();
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                context.Response.ContentType = "application/json";
                await context.Response.WriteAsJsonAsync(new
                {
                    error = "Unauthorized",
                    message = context.ErrorDescription
                });
            };
        },
        options => { Configuration.Bind("AzureAdB2C", options);}
    );

步骤3：验证依赖包版本

确保安装的Microsoft.Identity.Web包版本适配.NET 5，使用1.x.x系列版本即可，2.x及以上版本仅支持.NET 6+。

可选验证步骤

手动拼接B2C元数据地址，确认可以正常访问：

https://[你的B2C域名].b2clogin.com/[你的Domain]/[你的SignUpSignInPolicyId]/v2.0/.well-known/openid-configuration

正常访问会返回JSON格式的元数据内容，说明配置地址无问题。

内容的提问来源于stack exchange，提问作者gmancity