通过 DisplayControl 验证电子邮件答案

【问题标题】：Validate Email through DisplayControl通过 DisplayControl 验证电子邮件
【发布时间】：2022-10-20 21:49:33
【问题描述】：

我们当前的重置密码流程首先向您显示电子邮件地址字段。然后向您发送一封带有 OTP 代码的电子邮件，以验证您的电子邮件并继续重置密码。我们使用 starter pack 和 SendGrid 来处理电子邮件，并使用 Microsoft 的示例文档来实现。

在发送电子邮件之前，我无法获得自定义策略来验证/验证电子邮件在我们的 AAD 中确实作为注册用户存在（即具有 objectId）。

我想要的是：策略检查此电子邮件地址是否已在 AAD 上注册。如果是，则继续发送 OTP 代码以验证电子邮件，帮助用户重置密码。如果没有，请中断流程，不要发送任何电子邮件，也不要返回任何错误消息。微软对此有一个工作演示，但用于登录。

这是我使用的用于密码重置的 UserJourney：

<UserJourney Id="PasswordReset">
      <OrchestrationSteps>
        <OrchestrationStep Order="1" Type="ClaimsExchange">
          <ClaimsExchanges>
            <ClaimsExchange Id="PasswordResetUsingEmailAddressExchange" TechnicalProfileReferenceId="LocalAccountDiscoveryUsingEmailAddress" />
          </ClaimsExchanges>
        </OrchestrationStep>
        <OrchestrationStep Order="2" Type="ClaimsExchange">
          <ClaimsExchanges>
            <ClaimsExchange Id="NewCredentials" TechnicalProfileReferenceId="LocalAccountWritePasswordUsingObjectId" />
          </ClaimsExchanges>
        </OrchestrationStep>
        <!-- Send security alert email -->
        <OrchestrationStep Order="3" Type="ClaimsExchange">
          <ClaimsExchanges>
            <ClaimsExchange Id="Sendalertemail" TechnicalProfileReferenceId="Alertemail" />
          </ClaimsExchanges>
        </OrchestrationStep>
        <OrchestrationStep Order="4" Type="SendClaims" CpimIssuerTechnicalProfileReferenceId="JwtIssuer" />
      </OrchestrationSteps>
      <ClientDefinition ReferenceId="DefaultWeb" />
    </UserJourney>

步骤1中技术简介的内容：

<TechnicalProfile Id="LocalAccountDiscoveryUsingEmailAddress">
  <DisplayName>Reset password using email address</DisplayName>
  <Protocol Name="Proprietary" Handler="Web.TPEngine.Providers.SelfAssertedAttributeProvider, Web.TPEngine, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" />
  <Metadata>
    <Item Key="IpAddressClaimReferenceId">IpAddress</Item>
    <Item Key="ContentDefinitionReferenceId">api.localaccountpasswordreset</Item>
  </Metadata>
  <IncludeInSso>false</IncludeInSso>
  <DisplayClaims>
    <DisplayClaim DisplayControlReferenceId="emailVerificationControl" />
  </DisplayClaims>
  <OutputClaims>
    <OutputClaim ClaimTypeReferenceId="email" />
    <OutputClaim ClaimTypeReferenceId="objectId" />
    <OutputClaim ClaimTypeReferenceId="userPrincipalName" />
    <OutputClaim ClaimTypeReferenceId="authenticationSource" />
  </OutputClaims>
  <ValidationTechnicalProfiles>
    <ValidationTechnicalProfile ReferenceId="AAD-UserReadUsingEmailAddress-emailAddress" />
  </ValidationTechnicalProfiles>
</TechnicalProfile>

以及来自它的验证技术简介：

<TechnicalProfile Id="AAD-UserReadUsingEmailAddress-emailAddress">
          <Metadata>
            <Item Key="Operation">Read</Item>
            <Item Key="RaiseErrorIfClaimsPrincipalDoesNotExist">true</Item>
          </Metadata>
          <IncludeInSso>false</IncludeInSso>
          <InputClaims>
            <InputClaim ClaimTypeReferenceId="email" PartnerClaimType="signInNames.emailAddress" Required="true" />
          </InputClaims>
          <OutputClaims>
            <!-- Required claims -->
            <OutputClaim ClaimTypeReferenceId="objectId" />
            <OutputClaim ClaimTypeReferenceId="authenticationSource" DefaultValue="localAccountAuthentication" />

            <!-- Optional claims -->
            <OutputClaim ClaimTypeReferenceId="userPrincipalName" />
            <OutputClaim ClaimTypeReferenceId="displayName" />
            <OutputClaim ClaimTypeReferenceId="otherMails" />
            <OutputClaim ClaimTypeReferenceId="signInNames.emailAddress" />
          </OutputClaims>
          <IncludeTechnicalProfile ReferenceId="AAD-Common" />
        </TechnicalProfile>

我尝试了this 解决方案，但它根本没有改变我页面的行为。

【问题讨论】：

标签： azure-ad-b2c azure-ad-b2c-custom-policy azure-b2c aad-b2c

【解决方案1】：

我设法通过在 GenerateOtp 之前将其添加到 SendCode 操作来解决此问题：

<ValidationClaimsExchangeTechnicalProfile TechnicalProfileReferenceId="AAD-UserReadUsingEmailAddress-emailAddress" ContinueOnError="false" />

AAD-UserReadUsingEmailAddress-emailAddress 负责根据 AAD 检查 objectId。

然后，在 SendOtp 中的先决条件：

        <Precondition Type="ClaimsExist" ExecuteActionsIf="false">
          <Value>objectId</Value>
          <Action>SkipThisValidationTechnicalProfile</Action>
        </Precondition>

【讨论】：