Azure AD B2C临时密码首次登录异常问题咨询

我之前也碰到过一模一样的情况，先把这个问题的核心场景理清楚：

你给本地账户配置了Azure AD B2C登录策略，通过Graph API创建新用户时，设置了临时密码并把ForceChangePasswordNextLogin标记设为true。但当这类用户在已经存在https://login.microsoftonline.com/TENNANT_NAME/oauth2/authorize会话的浏览器中首次登录时，输入邮箱和临时密码提交后，本该触发的强制修改密码环节要么被直接跳过，要么出现流程异常，对吧？

问题根源分析 #

这个异常的核心原因是浏览器中已有的Azure AD全局会话干扰了B2C的本地账户强制改密码流程。当浏览器保存了login.microsoftonline.com的有效会话时，B2C的登录流程会默认复用这个会话的身份信息，跳过了本地账户的临时密码验证和强制改密码步骤，直接完成登录，完全违背了我们设置ForceChangePasswordNextLogin=true的初衷。

可行解决方案 #

针对这个问题，有几个实用的解决办法，你可以根据自己的业务场景选择：

• 在B2C授权请求中添加prompt=login参数：
  这个参数会强制用户重新输入凭据，忽略浏览器中已有的任何会话，确保B2C流程能完整执行临时密码验证和强制改密码环节。只需要在你的授权请求URL中追加这个参数即可，示例如下：

  https://your-tenant.b2clogin.com/your-tenant.onmicrosoft.com/B2C_1_signup_signin/oauth2/v2.0/authorize?client_id=your-client-id&response_type=code&redirect_uri=your-redirect-uri&scope=openid&prompt=login
  

• 调整B2C用户流/自定义策略的会话配置：

  • 如果使用的是内置用户流：在Azure门户的B2C用户流设置里，找到「会话行为」选项，开启「强制登录」功能，或者缩短会话的生命周期，避免复用外部会话。
  • 如果使用的是自定义策略：可以在TrustFrameworkBase.xml或你的自定义策略文件中，修改会话管理的配置节点，设置SessionExpiryType=Absolute，或者调整SessionExpiryInSeconds的值，确保每次登录都从头触发完整流程。

• 临时测试方案：清理浏览器会话：
  让用户在首次登录前，手动清除浏览器中login.microsoftonline.com的Cookie和缓存会话，确保B2C流程从零开始执行。这个方法仅适合测试验证问题根源，不适合生产环境推广。

额外注意点 #

• 确认Graph API创建用户时的参数设置正确，确保passwordProfile的配置没有拼写错误：

  {
    "passwordProfile": {
      "password": "YourTempPass@123",
      "forceChangePasswordNextSignIn": true,
      "forceChangePasswordNextSignInWithMfa": false
    }
  }
  

• 如果使用自定义策略，还要检查策略中是否包含了强制改密码的逻辑步骤，确保SelfAsserted-LocalAccountSignin-Email等技术配置能正确触发改密码流程。

内容的提问来源于stack exchange，提问作者Vitaliy Kiryanov