Azure AD B2C密码更改自定义策略：已登录用户仍需重复登录咨询

我之前也碰到过一模一样的问题！这其实是因为Azure AD B2C的自定义密码更改策略默认不会自动重用用户的现有会话，再加上前端MSAL.js调用时没传递关键的身份令牌参数，导致B2C没法识别用户已经登录了。下面给你一步步拆解原因和解决办法：

Azure AD B2C的自定义策略不会自动感知你应用端的登录状态，它只认自己的SSO会话或者你明确传递的id_token_hint（用户的现有身份令牌）。如果你的策略没配置接受这个令牌，或者前端没传，B2C就会要求用户重新登录。

1. 调整自定义密码更改策略的SSO配置 #

咱先从策略配置入手，确保它能识别并重用用户的现有会话：

第一步：添加id_token_hint的声明提取配置 #

在你的密码更改策略XML文件（比如PasswordChange.xml）的<ClaimsProviders>节点下，添加一个专门处理id_token_hint的技术配置，用来提取用户的核心身份信息：

<ClaimsProvider>
  <DisplayName>Local Account</DisplayName>
  <TechnicalProfiles>
    <TechnicalProfile Id="IdTokenHint_ExtractClaims">
      <DisplayName>ID Token Hint Claims Provider</DisplayName>
      <Protocol Name="None" />
      <OutputClaims>
        <OutputClaim ClaimTypeReferenceId="objectId" />
        <OutputClaim ClaimTypeReferenceId="sub" />
        <OutputClaim ClaimTypeReferenceId="email" />
      </OutputClaims>
    </TechnicalProfile>
  </TechnicalProfiles>
</ClaimsProvider>

第二步：修改用户旅程，跳过不必要的登录步骤 #

找到策略里的<UserJourney Id="PasswordChange">节点，调整编排步骤，让它先验证id_token_hint，如果能提取到用户身份（说明用户已有有效会话），就跳过登录步骤：

<UserJourney Id="PasswordChange">
  <OrchestrationSteps>
    <!-- 先提取id_token_hint里的用户身份 -->
    <OrchestrationStep Order="1" Type="ClaimsExchange">
      <ClaimsExchanges>
        <ClaimsExchange Id="IdTokenHintExchange" TechnicalProfileReferenceId="IdTokenHint_ExtractClaims" />
      </ClaimsExchanges>
    </OrchestrationStep>
    <!-- 如果已经拿到objectId，就跳过登录步骤 -->
    <OrchestrationStep Order="2" Type="ClaimsExchange">
      <Preconditions>
        <Precondition Type="ClaimsExist" ExecuteActionsIf="true">
          <Value>objectId</Value>
          <Action>SkipThisOrchestrationStep</Action>
        </Precondition>
      </Preconditions>
      <ClaimsExchanges>
        <ClaimsExchange Id="LocalAccountSigninEmailExchange" TechnicalProfileReferenceId="SelfAsserted-LocalAccountSignin-Email" />
      </ClaimsExchanges>
    </OrchestrationStep>
    <!-- 后面的密码更改步骤保持原样即可 -->
    ...
  </OrchestrationSteps>
</UserJourney>

第三步：配置会话管理，重用B2C的SSO会话 #

在你的密码更改核心技术配置（比如SelfAsserted-PasswordChange）里，添加会话管理引用，确保B2C会重用已有的会话：

<TechnicalProfile Id="SelfAsserted-PasswordChange">
  <!-- 其他配置保持不变 -->
  <UseTechnicalProfileForSessionManagement ReferenceId="SM-AAD" />
</TechnicalProfile>

2. 前端MSAL.js调用时传入id_token_hint #

光改策略还不够，前端得把当前登录用户的idToken传给B2C，这样策略才能拿到id_token_hint。下面是MSAL.js v2的示例代码：

// 获取当前活跃的登录账户
const account = msalInstance.getActiveAccount();
if (!account) {
  // 这里处理用户未登录的情况，比如跳转到登录页
  return;
}

// 从账户信息里拿到idToken
const userIdToken = account.idToken;

// 配置密码更改请求，关键是传入idTokenHint
const passwordChangeRequest = {
  scopes: ["openid"],
  authority: "https://你的B2C租户域名.b2clogin.com/你的B2C租户域名.onmicrosoft.com/B2C_1_你的密码更改策略名称",
  idTokenHint: userIdToken, // 这一步是核心！
  redirectUri: window.location.origin + "/你的密码更改回调页面路径"
};

// 启动密码更改流程
msalInstance.loginRedirect(passwordChangeRequest);

3. 验证租户的会话配置 #

最后，去Azure门户检查下你的B2C租户会话设置：

• 进入Azure AD B2C > 用户流 > 选择任意一个用户流（或者直接看自定义策略的会话设置）
• 查看「会话行为」里的会话超时时间，确保没有设置过短或者强制立即过期的选项

改完配置后，先登录你的应用，然后触发密码更改流程。正常情况下应该直接跳转到密码修改页面，而不是登录页。如果还是有问题：

• 打开浏览器的开发者工具，检查是否存在B2C的会话cookie（比如ARRAAuthCookie）
• 用Azure门户里的自定义策略调试工具，查看流程中的声明传递情况，确认objectId是否被正确提取

内容的提问来源于stack exchange，提问作者RonaldV