如何解决多客户端访问Azure B2C保护的Node.js API的audience验证问题

我来给你几个实用的解决方案，都是Azure B2C生态里处理这类多客户端API验证场景的常用路子：

方案1：将API注册为独立的B2C应用（推荐） #

这是最符合Azure B2C设计模式的做法，能从根源上解决audience单一的问题：

• 先在Azure B2C里给你的Node.js API单独注册一个应用程序，拿到它的专属应用ID（这个ID就是后续token里的aud值）
• 把那两个Web应用都添加为这个API应用的客户端，并为它们分配对应的应用角色（比如WebApp1_Access、WebApp2_Access）
• 让两个Web应用在请求access_token时，把API的应用ID作为audience参数（或者用API定义的范围，比如https://yourtenant.onmicrosoft.com/api/read）
• 你的Node.js API在验证token时，只需要检查aud是否等于API自己的应用ID，再通过roles字段判断该客户端是否有权限访问对应接口

这种方式完全遵循B2C的安全模型，后续再加新客户端只需要添加角色就行，扩展性拉满。

方案2：自定义令牌验证逻辑（快速适配现有场景） #

如果不想改动现有Web应用的token请求流程，可以在Node.js API里自定义验证逻辑，绕过单一audience的限制：

• 假设你用的是passport-azure-ad或jsonwebtoken这类库，别直接用库自带的单一audience验证选项
• 手动解析token后，检查aud字段是否在你预先定义的允许列表里（比如["webapp1-id", "webapp2-id"]）
• 举个jsonwebtoken的简单示例：

const jwt = require('jsonwebtoken');
const allowedAudiences = ["webapp1-xxxx", "webapp2-yyyy"];

function validateToken(token) {
  try {
    const decoded = jwt.verify(token, yourB2CPublicKey, { algorithms: ['RS256'] });
    if (!allowedAudiences.includes(decoded.aud)) {
      throw new Error('Invalid audience');
    }
    // 其他验证逻辑（比如过期时间、签名算法）
    return decoded;
  } catch (err) {
    throw err;
  }
}

注意：这种方式要自己处理令牌签名的验证（比如获取B2C的公钥），别遗漏关键安全步骤。

方案3：通过B2C策略统一令牌受众 #

如果两个Web应用属于同一业务体系，可以用B2C的用户流或自定义策略统一设置token的audience：

• 在B2C的用户流配置里，或者自定义策略的RelyingParty部分，指定audience为API的应用ID
• 这样不管哪个Web应用发起认证，生成的access_token的aud都会是API的ID，而非Web应用自己的ID
• API验证时只需要检查这个统一的audience，同时可以通过azp（授权方）字段区分是哪个Web应用发起的请求，再做权限控制

总结 #

优先选方案1，因为它最贴合Azure B2C的设计理念，安全性和扩展性都最优。如果不想改动现有客户端配置，方案2是快速解决的办法，但要确保自定义验证逻辑没有安全漏洞。

内容的提问来源于stack exchange，提问作者Dinusha