Azure B2C授权（非认证）咨询：已用PKCE实现认证后如何对接类MS Identity Server角色授权

绝大多数同类场景不需要从零自行搭建完整授权服务。你当前遇到的Scopes能力不匹配的问题，本质是Scopes的设计定位和权限需求不匹配，而非缺少独立授权服务。

• 零开发成本方案：复用Azure B2C原生能力实现对标MS Identity Server的Claim-Based权限模型
  • 明确基础认知：MS Identity Server的角色/权限模型本身就是基于声明（Claim）实现的，Scopes在其中仅用于标识API资源的访问边界，和用户自身的角色权限没有设计层面的关联。尝试用Scopes承载用户权限需求，是对Scopes能力定位的认知偏差。
  • 具体实现路径：在Azure B2C目录中为用户创建自定义属性，分别存储管理员、读写、只读三类权限标识；配置对应的用户流或自定义策略，在认证流程完成后，将用户的权限属性作为标准Claim写入颁发的ID Token、Access Token中。业务系统接收到Token后直接解析对应Claim，即可完成权限判定，无需额外搭建独立服务。
  • 若需要基于用户组批量配置权限，可通过B2C自定义策略的 Claims Transformation 规则，自动将用户所属组映射为对应的权限Claim，无需逐用户维护权限属性。
• 低代码成本方案：轻量化权限校验中间层
  • 当存在动态权限调整需求（比如需要业务运营人员实时修改用户权限、权限规则和业务数据强绑定），仅需开发一个极轻量化的权限查询接口即可：接口直接从B2C颁发的Token中提取用户唯一标识（oid Claim），查询本地存储的「用户ID-权限」映射表，返回对应用户的权限类型。
  • 该方案仅需实现简单的CRUD和查询逻辑，不需要复刻完整授权服务器的能力，开发量仅为全量自建方案的10%不到。
• 全量自建授权服务的适用场景
  只有满足以下任意一类需求时，才需要考虑从零搭建完整授权服务：
  • 权限体系需要对接多套独立身份源，不局限于当前的Azure B2C身份系统
  • 需要实现复杂的权限规则，比如字段级数据权限、权限自动审批流程、跨租户权限继承等B2C原生能力完全覆盖不到的逻辑
  • 需要对外提供独立的权限运营接口，支持第三方应用接入统一的权限管理体系

不要因为Scopes无法承载权限需求，就默认需要搭建独立授权服务。Scopes的设计目标是约束客户端可访问的API资源范围，本身就不适合承载用户级的细粒度角色权限，这是所有OAuth2.0身份系统的通用设计逻辑。

内容的提问来源于stack exchange，提问作者Ray