Azure AD B2C认证：如何为ASP.NET Core应用配置租户级指定客户用户访问限制

核心设计原则 #

所有管控逻辑必须落在Azure AD B2C 令牌发行前置环节，不能仅依赖Web应用自身的授权拦截。这套实现和你当前已经跑通的B2C身份认证流程完全兼容，不需要重写现有ASP.NET Core端的认证逻辑、用户claims读取代码，最终要实现的效果是：无权限的B2C用户完成账号密码验证后，直接被B2C流程中断登录，不会拿到有效访问令牌调用应用接口，从租户层面完成访问收口。 #

可直接落地的三种实现方案 #

方案1：租户级授权组准入控制（生产环境首选，维护成本最低） #

• 在目标B2C租户内创建独立的应用访问授权组，仅将允许访问的指定客户用户添加到组内，支持批量导入成员、动态组规则配置
• 调整B2C登录用户流（含自定义策略、内置用户流均可支持）的编排顺序：在用户完成账号身份校验后、生成并返回ID令牌/访问令牌前，增加组成员身份校验步骤
  • 校验通过的用户，流程继续执行，正常发行令牌
  • 校验不通过的用户，直接中断登录流程，跳转配置好的“无应用访问权限”自定义错误页，不向应用返回任何有效令牌
• 可同步将用户所属的授权组信息作为声明注入返回的令牌中，方便后续应用做更细粒度的权限拆分

方案2：自定义用户属性白名单校验（小范围固定用户场景轻量实现） #

• 在B2C租户的用户属性架构中，新增一个布尔型自定义属性，例如webapp_access_allowed，属性默认值统一设为false
• 针对需要放行的指定用户，在B2C用户管理后台手动将该属性值修改为true
• 同样在登录流程的令牌发行前置环节，增加属性值校验逻辑：读取用户的webapp_access_allowed属性值，值为false的用户直接中断登录流程，不发行令牌
• 该方案不需要维护组的成员关系，适合允许访问的用户规模小、人员变动频率低的场景，配置成本更低

方案3：自定义策略的多维度准入校验（复杂权限场景演进选择） #

• 如果当前已经采用B2C自定义策略完成身份流程配置，可以把权限拦截逻辑直接写入自定义策略的校验技术文件，实现更灵活的准入判断：
  • 支持结合用户注册渠道、邮箱后缀、用户资料标签等多维度条件做校验
  • 可配置拦截后的跳转逻辑，比如引导无权限用户提交访问申请，而非直接返回错误

落地避坑提醒 #

• 不要将核心拦截逻辑只放在ASP.NET Core应用的授权策略里：这种模式下无权限用户依然可以走完完整登录流程、拿到有效访问令牌，不仅会产生无效的登录日志，还存在令牌泄露被滥用的风险，不符合“租户层面实现限制”的核心要求
• 校验步骤的位置要准确：必须放在身份验证完成、令牌发行之前的编排节点，如果将校验放在令牌生成之后，无权限用户依然可以拿到有效令牌，租户层拦截会完全失效
• 配套配置审计规则：定期审计授权组成员变动、白名单属性的修改记录，避免非授权用户被误加入放行名单
• 优化拦截场景的用户体验：配置专门的无权限提示页，清晰告知用户拦截原因，不要返回默认的B2C技术类错误信息

内容的提问来源于stack exchange，提问作者Vivek N