Entra External ID集成BigCommerce：预创建用户纯Email OTP无密码认证问询

• 使用环境：Microsoft Entra External ID (CIAM)
• 期望目标：实现纯Email OTP无密码认证流程，通过Microsoft Graph API预创建（邀请）用户，全程不设置密码，完全依赖Email OTP完成登录。流程为：用户接收邀请邮件→点击链接跳转至Entra用户流→输入邮箱获取OTP→验证OTP完成登录→后端通过令牌在BigCommerce等下游系统配置用户。
• 当前配置：采用「注册并登录」用户流，启用Email一次性密码身份提供商、禁用带密码的邮箱登录；租户级认证方法启用Email OTP；使用Authorization Code Flow (OIDC)。
• 核心问题：已预创建（邀请）的用户仍被提示输入密码，无法强制走Email OTP认证。
• 观察到的行为：现有用户被要求密码登录，OTP未作为主认证方式；租户仅支持「注册并登录」组合流，无「仅登录」用户流选项。
• 已识别限制：
  1. 「注册并登录」流默认包含本地账户逻辑，预创建用户被视为本地账户，系统仍期望密码登录
  2. Email OTP在标准流中仅作为注册或二次验证方式，无法替代密码成为现有用户的唯一主认证方式
  3. 当前Entra External ID租户仅支持组合流，无独立「仅登录」用户流
  4. 预创建用户即使未设置密码，仍会触发系统的密码登录要求

1. 是否可通过标准Entra External ID用户流，强制预创建/邀请用户采用纯Email OTP无密码认证？
   不行。标准用户流的「注册并登录」逻辑默认绑定本地账户的密码认证逻辑，即使禁用密码登录选项，预创建的本地账户仍会触发系统内部的密码校验逻辑，无法强制将Email OTP作为唯一主认证方式。

2. 若不可行，自定义策略（IEF）是否为唯一实现方式？
   是。自定义策略（Identity Experience Framework）可以完全自定义认证流程，绕过本地账户的密码要求，强制将Email OTP设为预创建用户的唯一主认证方式。通过自定义用户旅程，你可以直接触发Email OTP验证步骤，跳过密码输入环节。

3. 或推荐避免预创建用户，让用户在OTP登录时自动创建？
   这是标准流下可行的替代方案。当用户首次通过Email OTP完成认证时，系统会自动创建对应的用户账户，全程无需预创建或设置密码，完全符合纯OTP无密码的需求。这种方式能避开预创建用户带来的本地账户密码逻辑限制。

4. 最初期望的流程（通过Microsoft Graph API邀请用户→用户点击接受链接→跳转至Entra验证邮箱（适用时用OTP）→首次设置密码→自动登录→跳转回BigCommerce门户着陆页）是否可实现？
   可以实现。通过邀请流程创建的用户，在首次点击邀请链接时，系统会引导用户完成邮箱验证（可配置为Email OTP方式），然后强制用户设置初始密码，完成后自动登录并跳转至指定的BigCommerce着陆页。这种流程符合Entra External ID的标准邀请逻辑，无需自定义策略即可实现。

内容的提问来源于stack exchange，提问作者Karthik