Azure B2C中LinkedIn登录时sub随机报错‘Not supported currently. Use oid claim’求助

嘿，这个随机出现的sub声明错误我之前帮人排查过——这其实是Azure AD B2C对接LinkedIn时的一个小坑，尤其是当你依赖CreateSubjectClaimFromAlternativeSecurityId这个声明转换器的时候。

简单说，当LinkedIn返回的用户身份信息偶尔出现字段缺失或者格式变化时，B2C内部无法正常生成稳定的sub值，就会 fallback 输出那个提示性错误。这种随机性通常和LinkedIn API返回的细微差异有关，比如某些场景下漏传了B2C用来生成sub的核心标识符。

针对这个问题，你可以从以下几个方向调整你的B2C策略：

1. 直接用LinkedIn原生的sub生成B2C的sub #

别再依赖B2C的CreateSubjectClaimFromAlternativeSecurityId转换器了，直接把LinkedIn返回的oauth2:sub映射成B2C的sub声明。修改你的声明转换配置：

<ClaimsTransformation Id="CreateSubjectClaimFromLinkedInSub" TransformationMethod="CreateStringClaim">
  <InputParameters>
    <InputParameter Id="value" DataType="string" Value="{oauth2:sub}" />
  </InputParameters>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="sub" TransformationClaimType="createdClaim" />
  </OutputClaims>
</ClaimsTransformation>

这样跳过B2C内部的复杂解析逻辑，直接用LinkedIn提供的用户唯一标识符，能彻底避免那个错误提示。

2. 按错误提示改用oid声明 #

既然错误明确说“Use oid claim”，那如果你的应用可以接受，直接用oid作为用户的唯一标识符就行。在你的RelyingParty配置里添加这个声明的输出：

<OutputClaim ClaimTypeReferenceId="oid" />

然后在应用中用oid来识别用户，完全绕开sub的问题——这其实是最省心的方案，毕竟oid是B2C本身维护的稳定用户ID。

3. 给LinkedIn应用加对权限 #

确保你的LinkedIn应用请求了正确的权限，比如r_liteprofile（对应新版API）或者r_basicprofile（旧版），这些权限能保证LinkedIn返回完整的用户标识符字段，减少B2C解析失败的概率。

4. 加个错误兜底逻辑 #

如果必须要用sub声明，那可以在策略里加个条件分支，当sub的值是那个错误字符串时，自动用oid替换它。比如：
首先定义声明转换：

<ClaimsTransformation Id="ReplaceSubWithOidIfError" TransformationMethod="CreateStringClaim">
  <InputParameters>
    <InputParameter Id="value" DataType="string" Value="{oid}" />
  </InputParameters>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="sub" TransformationClaimType="createdClaim" />
  </OutputClaims>
</ClaimsTransformation>

然后在用户旅程里加一个条件步骤：

<OrchestrationStep Order="X" Type="ClaimsExchange">
  <Preconditions>
    <Precondition Type="ClaimEquals" ExecuteActionsIf="true">
      <Value>sub</Value>
      <Value>Not supported currently. Use oid claim.</Value>
      <Action>ExecuteClaimsExchange</Action>
    </Precondition>
  </Preconditions>
  <ClaimsExchanges>
    <ClaimsExchange Id="ReplaceSub" TechnicalProfileReferenceId="TP-ReplaceSubWithOid" />
  </ClaimsExchanges>
</OrchestrationStep>

记得把TP-ReplaceSubWithOid定义成一个引用上述声明转换的技术配置文件，这样就能在错误出现时自动修复sub的值。

修改完策略后，多跑几次测试——比如用新用户登录、已有用户重复登录，甚至可以模拟LinkedIn返回不完整字段的场景（如果能做到的话）。同时盯着Application Insights的日志，确认那个错误提示不再出现。

内容的提问来源于stack exchange，提问作者Jonas Stensved