本文详细介绍如何在 php（尤其是 slim 框架）项目中集成 azure ad b2c 实现安全、标准化的用户认证，涵盖注册/登录流程、openid connect 配置、token 验证及 azure 部署关键步骤。
Azure Active Directory B2C（Azure AD B2C）是面向消费者身份管理的云服务，支持自定义策略、多因素认证、社交账号登录（如 Google、Facebook），并能与 Microsoft Dynamics 365 Customer Engagement（CE）无缝对接——这使其成为企业级客户门户的理想认证后端。尽管官方示例主要基于 Laravel，但其底层依赖 OpenID Connect 协议，完全兼容任何标准 PHP 应用（包括 Slim、Lumen 或原生 PHP），无需框架强绑定。
✅ 核心集成原理
Azure AD B2C 通过 OpenID Connect（OIDC） 提供标准化的身份验证流。PHP 应用只需：
- 重定向用户至 B2C 授权端点（https://<tenant>.b2clogin.com/<tenant>.onmicrosoft.com/<policy>/oauth2/v2.0/authorize）；
- 接收授权码（code）后，向令牌端点交换 id_token 和 access_token；
- 使用公钥（JWKS URI）验证 id_token 签名，并解析声明（如 sub, email, name）完成登录。
?️ 实施步骤（Slim 框架适配版）
-
Azure 门户配置
- 在 Azure Portal → Azure AD B2C 创建租户（若未有）；
- 注册应用：选择“应用”→“新注册”，设置重定向 URI 为 https://yourdomain.com/callback（生产环境需 HTTPS）；
- 记录 Application (client) ID 和 Client secret（在“证书和密码”中生成）；
- 创建用户流（User Flow），例如 B2C_1_signupsignin，启用邮箱/用户名登录。
-
PHP 端集成（Slim 4 示例）
安装必要依赖：composer require league/oauth2-client guzzlehttp/guzzle firebase/php-jwt
在 Slim 路由中实现登录与回调逻辑：
立即学习“PHP免费学习笔记（深入）”；
// routes.php use Psr\Http\Message\ResponseInterface as Response; use Psr\Http\Message\ServerRequestInterface as Request; $app->get('/login', function (Request $request, Response $response) { $authUrl = 'https://<your-tenant>.b2clogin.com/<your-tenant>.onmicrosoft.com/B2C_1_signupsignin/oauth2/v2.0/authorize?' . http_build_query([ 'client_id' => 'YOUR_CLIENT_ID', 'response_type' => 'code', 'redirect_uri' => 'https://yourdomain.com/callback', 'response_mode' => 'query', 'scope' => 'openid profile email', 'nonce' => bin2hex(random_bytes(16)), 'state' => bin2hex(random_bytes(16)), ]); return $response->withStatus(302)->withHeader('Location', $authUrl); }); $app->get('/callback', function (Request $request, Response $response) { $code = $request->getQueryParam('code'); $state = $request->getQueryParam('state'); // 1. 用 code 换取 token $tokenResponse = \GuzzleHttp\Client()->post( 'https://<your-tenant>.b2clogin.com/<your-tenant>.onmicrosoft.com/B2C_1_signupsignin/oauth2/v2.0/token', [ 'form_params' => [ 'grant_type' => 'authorization_code', 'client_id' => 'YOUR_CLIENT_ID', 'client_secret' => 'YOUR_CLIENT_SECRET', 'code' => $code, 'redirect_uri' => 'https://yourdomain.com/callback', 'scope' => 'openid profile email' ] ] ); $tokens = json_decode($tokenResponse->getBody(), true); // 2. 验证 id_token（关键！） $jwksUri = 'https://<your-tenant>.b2clogin.com/<your-tenant>.onmicrosoft.com/discovery/v2.0/keys?p=B2C_1_signupsignin'; $jwks = json_decode(file_get_contents($jwksUri), true); $key = \Firebase\JWT\JWK::parseKeySet($jwks); $payload = \Firebase\JWT\JWT::decode($tokens['id_token'], $key, ['RS256']); // 3. 登录成功，写入会话 $_SESSION['user'] = [ 'sub' => $payload->sub, 'email' => $payload->email ?? null, 'name' => $payload->name ?? null ]; return $response->withStatus(302)->withHeader('Location', '/dashboard'); }); -
安全注意事项
- ✅ 始终验证 id_token 的签名、iss（应为 https://<tenant>.b2clogin.com/<tenant-guid>/v2.0/）、aud（必须匹配 client_id）、exp 和 nbf；
- ✅ 使用 state 参数防止 CSRF（务必在 session 中存储并比对）；
- ✅ 生产环境禁用 http://localhost 重定向 URI；
- ✅ 敏感凭据（client_secret）不得硬编码，应通过环境变量注入（.env + vlucas/phpdotenv）；
- ⚠️ Slim 默认无会话中间件，需手动启用：$app->add(new \Slim\Middleware\SessionMiddleware());。
-
部署到 Azure（推荐方式）
- 在 Azure App Service 中创建 PHP 环境（建议 PHP 8.1+）；
- 启用本地 Git 部署：App Service → “Deployment Center” → “Local Git” → 设置凭据；
- 初始化本地仓库并推送：
git init git remote add azure https://<username>@<app-name>.scm.azurewebsites.net:443/<app-name>.git git add . git commit -m "Initial B2C integration" git push azure master
? 提示：若坚持使用 Slim（而非 Laravel），可参考社区维护的轻量 OIDC 客户端库（如 web-auth/webauthn-lib 或 jumbojett/openid-connect-php），避免重复造轮子。官方示例虽基于 Laravel，但其 config/b2c.php 和 AuthController.php 的逻辑可直接迁移至 Slim 的路由与中间件中。
通过以上配置，您的 PHP 客户门户即可获得企业级身份认证能力，并为后续与 Dynamics CE 的 API 集成（通过 access_token 调用 Web API）奠定坚实基础。
