Azure AD B2C自定义策略中Facebook登录异常求助

我经常碰到这类Facebook社交登录的踩坑问题，结合之前的排查经验，给你梳理几个关键检查点，帮你定位问题：

1. 先核对Facebook开发者后台的核心配置 #

• 一定要去产品 > Facebook登录 > 设置里，把有效的OAuth跳转URI严格设置成你的B2C租户回调地址，格式是https://<你的租户名>.b2clogin.com/<你的租户名>.onmicrosoft.com/oauth2/authresp，多一个斜杠或者拼写错都会导致跳转不匹配错误
• 检查你的Facebook应用状态：如果还在开发模式，只有你添加的测试用户能正常登录，普通用户会直接报错，记得上线前把应用改成“公开”状态
• 确认电子邮件权限是否启用：B2C自定义策略通常需要获取用户邮箱，去应用审核 > 权限与功能里看看email权限是不是已经获批（开发模式下测试用户不需要审核，但正式上线必须走审核流程）

2. 验证自定义策略里的Facebook技术配置 #

• 打开你定义Facebook身份提供者的技术配置文件（一般命名为Facebook-OAUTH），检查Metadata里的端点是否是最新版本，比如：

  <Item Key="authorization_endpoint">https://www.facebook.com/v18.0/dialog/oauth</Item>
  <Item Key="token_endpoint">https://graph.facebook.com/v18.0/oauth/access_token</Item>
  

  Facebook的API版本更新挺快的，旧版本可能会被废弃，导致请求失败
• 核对ClientId是不是Facebook应用的应用ID，ClientSecret是不是应用的应用密钥，还要确保这个密钥已经正确存储在B2C的密钥容器里（密钥类型必须选Secret）

3. 深挖Application Insights里的完整错误日志 #

你提到只捕获了部分错误内容，建议在Application Insights里精准搜索：找HandlerResult且Result为false的日志，重点看ErrorMessage和ErrorReason字段——这俩是定位问题的关键：

• 如果看到invalid_client，大概率是ClientId或者ClientSecret配置错了，要么是策略里写的不对，要么是密钥容器里的密钥值错了
• 如果是redirect_uri_mismatch，就是Facebook后台的跳转URI和B2C的回调地址不匹配，回去核对拼写
• 如果是permission_denied，要么是用户拒绝了邮箱权限，要么是你的Facebook应用根本没申请这个权限

4. 检查自定义策略的用户旅程和声明映射 #

• 确保用户旅程里，Facebook登录的步骤正确引用了对应的社交身份提供者技术配置文件，别引用错了其他身份提供者的配置
• 检查声明交换（ClaimsExchange）里的映射是否正确，比如要把Facebook返回的email声明映射到B2C的email声明，示例配置：

  <OutputClaim ClaimTypeReferenceId="email" PartnerClaimType="email" />
  

  如果Facebook因为用户隐私设置没返回邮箱，而你的策略又要求必须有邮箱声明，就会触发错误

5. 手动测试Facebook的授权流程 #

可以自己构造一个授权URL手动测试，看看是Facebook那边的问题还是B2C策略的问题：

https://www.facebook.com/v18.0/dialog/oauth?client_id=<你的Facebook应用ID>&redirect_uri=<你的B2C回调地址>&scope=email&response_type=code

• 如果这个URL能正常跳转到Facebook登录，并且返回授权码，说明Facebook应用配置没问题，问题出在B2C策略里
• 如果这个URL直接报错，根据Facebook返回的错误提示调整应用配置就行

内容的提问来源于stack exchange，提问作者Anshu Kunal