如何在AD B2C自定义策略中实现社交IDP的login_hint邮箱传递？

我帮你梳理下这个问题的可行解决思路，你遇到的情况是AD B2C自定义策略里传递login_hint到社交身份提供者时的常见配置问题，咱们一步步调整就能解决：

1. 先明确不同社交IDP的参数要求 #

不同平台接受的预填邮箱参数名不一样，这很可能是你之前配置没生效的核心原因：

• Facebook：需要用email作为参数名，而非通用的login_hint
• Google/LinkedIn：支持标准的login_hint参数
• Twitter：由于其OAuth 1.0a协议限制，不支持直接传递login_hint预填邮箱，这个暂时没办法实现

2. 调整对应IDP的TechnicalProfile配置 #

针对每个IDP修改<InputClaims>部分的配置：

示例：Facebook的配置调整 #

<TechnicalProfile Id="Facebook-OAUTH">
  <DisplayName>Facebook</DisplayName>
  <Protocol Name="OAuth2" />
  <Metadata>
    <!-- 保留你已有的元数据配置，比如ClientId、AuthorizationEndpoint等 -->
  </Metadata>
  <!-- 修改这里的InputClaims，把PartnerClaimType改成email -->
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="logonIdentifier" PartnerClaimType="email" DefaultValue="{OIDC:LoginHint}" />
  </InputClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="logonIdentifier" Required="true" />
    <!-- 其他输出Claim配置 -->
  </OutputClaims>
  <!-- 其他配置如CryptographicKeys等 -->
</TechnicalProfile>

示例：Google/LinkedIn的配置调整 #

这两个平台可以直接用login_hint，但要确保参数传递正确：

<TechnicalProfile Id="Google-OAUTH">
  <!-- 其他配置 -->
  <InputClaims>
    <InputClaim ClaimTypeReferenceId="logonIdentifier" PartnerClaimType="login_hint" DefaultValue="{OIDC:LoginHint}" />
  </InputClaims>
  <!-- 其他配置 -->
</TechnicalProfile>

3. 确保前端重定向时传递login_hint参数 #

在你的自定义页面逻辑中，除了设置domain_hint，还要把用户输入的邮箱作为login_hint参数附加到跳转到B2C的URL里。比如最终的重定向URL应该包含：

https://your-b2c-tenant.b2clogin.com/...&domain_hint=facebook.com&login_hint=user@example.com

只有这样，B2C才能通过{OIDC:LoginHint}变量获取到用户输入的邮箱值。

4. 验证ClaimType的定义正确性 #

确保你的自定义策略里已经正确定义了logonIdentifier这个ClaimType，DataType必须是string：

<BuildingBlocks>
  <ClaimsSchema>
    <ClaimType Id="logonIdentifier">
      <DisplayName>Email Address</DisplayName>
      <DataType>string</DataType>
      <UserHelpText>Enter your email address</UserHelpText>
      <UserInputType>TextBox</UserInputType>
    </ClaimType>
  </ClaimsSchema>
</BuildingBlocks>

5. 测试验证 #

配置完成后，测试流程：

1. 在自定义页面输入邮箱，选择对应社交IDP
2. 跳转至IDP登录页时，检查URL中是否包含对应的参数（比如Facebook的URL里有email=user@example.com，Google的有login_hint=user@example.com）
3. 确认IDP页面是否自动预填了邮箱

按照这些步骤调整后，除了Twitter之外的其他社交IDP应该都能实现预填邮箱的功能了。

内容的提问来源于stack exchange，提问作者Lucky