.net - 绕过Azure B2C重定向uri限制

Question

背景

使用 Azure B2C 配置身份验证时，您可以在 Azure 中注册应用程序并指定允许 Azure 重定向回的返回 Uri。这些重定向 Uri 有 max limit of 256 uri's 。我实现此功能的客户有多个子域和顶级域，这些子域和顶级域定向到具有不同文化的同一站点(使用 Optimizely CMS)。这意味着如果所有这些都在应用程序中注册，它们将突破 256 个 Uri 的限制。此外，在应用程序注册中配置每个 Uri 将是一项繁琐的工作。因此，我试图在不破坏最佳实践的情况下找出解决此问题的最佳方法。

期望

我希望找到一种解决方案，让我只需在 Azure 应用程序注册中注册一个或全部重定向 Uri，但仍然能够使用多个不同的子域和顶级域来启动身份验证流程。

方法

状态参数使用state parameter您可以在整个身份验证流程中传递自定义数据。这样你就可以传递你自己的重定向Uri。但是，这似乎仅适用于路径和子域，但不适用于顶级域。如果我传递的顶级域与我启动身份验证的顶级域不同，我最终会陷入重定向循环。我的猜测是，这是由于 cookie 无法设置，因为它是跨域的。

通配符 Uri通过使用 wild cards 定义 Uri可以最大程度地减少注册域名的数量。但由于安全隐患，不建议使用这种方法。

多个应用注册一种方法可能是配置 OpenIdConnect 解决方案来处理多个应用程序注册。因此，一组 Uri 连接到一个应用程序注册，另一组连接到另一个应用程序。根据请求 URL，使用正确的应用程序注册来发起身份验证请求。在我看来，这是一个非常好的解决方案，但它并没有最大限度地减少添加所有重定向 Uri 并维护它们所需的工作量。

将身份验证流程封装在自定义解决方案中在此方法中，仅使用一个特定的顶级域(域 A)来启动针对 Azure B2C 的身份验证。想要从域 B 登录的用户可以单击登录按钮，该按钮会将用户重定向到域 A，在域 A 中向 Azure B2C 发起身份验证。当用户通过身份验证时，用户将被重定向回域 A，在域 A 中创建 token (或类似 token )，然后发送回域 B。当 token 到达域 B 时，该 token 将保存在 session 中，然后用户将被视为已通过身份验证。我不喜欢这种方法。如果使用这种方法，感觉 Azure B2C 的整个目的就会丢失，而且这还会增加更多的复杂性和攻击向量。

问题

您有推荐的这些方法吗？还有其他我错过的可能有效的方法吗？

Answer 1

作为一名前 Episerver/Optimizely 开发人员，我不得不说，如果您的域/子域超过 256 个，我会重新考虑您的架构方法。您是否为每种语言版本使用不同的子域？

无论如何，如果您坚持自己的方法，我建议将每个顶级域注册为单个重定向 Uri，然后处理该状态中的子域/路径。这可能意味着身份验证是在 www.domain.com 下处理的，然后使用状态将您重定向回 en.domain.com 或 de.domain.com 。这可能需要实现一个自定义 Controller 来正确处理身份验证流程、状态和设置 cookie 域。