Azure AD B2C 中的 Web API 链（代表）

Question

根据this documentation，B2C不支持代流：

Azure AD B2C 不支持 Web API 链（代表）。

许多架构都包含一个需要调用另一个下游 Web API 的 Web API，两者都由 Azure AD B2C 保护。这种情况在具有 Web API 后端的本机客户端中很常见，后端又调用 Microsoft 在线服务，例如 Azure AD Graph API。

可以通过使用 OAuth 2.0 JWT Bearer Credential 授权（也称为 On-Behalf-Of 流）来支持这种链式 Web API 场景。但是，目前尚未在 Azure AD B2C 中实现 On-Behalf-Of 流。

---

我不能从第一个 Web API 请求中提取 JWT 并将其传递给下一个 Web API 吗？我知道从技术上讲，我可以，但是有什么我不想这样做的理由吗？

这种方法只有在为同一个 B2C 应用程序配置了两个 Web API 时才有效。也许这就是区别。文档是否可能引用了 2 个独立的 B2C 应用程序？

---

参考：Access the JWT bearer token when using the JWT middleware in ASP.NET Core

Answer 1

OAuth 2.0 On-Behalf-Of流程与第一个资源“https://resourceserver1”相关，从客户端接收访问令牌；然后将此访问令牌交换为另一个访问令牌，以便委托身份访问第二个资源“https://resourceserver2”，无需任何用户交互；然后将该访问令牌发送到第二个资源。

This Azure AD documentation 解释代理流程。

鉴于此，两个不同的资源需要两个不同的应用程序，而这又可能需要两个不同的范围。

您可以在B2C Support for on-behalf-of flow 投票支持此功能。