azure-ad-b2c - 保护自定义策略的内部步骤

Question

我是 b2c 的新手，所以如果我的问题是关于一些显而易见的事情，请原谅。注册后有一个自定义策略用于设置密码。该策略运行良好并更新了密码。如果在浏览器中再次使用相同的链接，则策略会正确显示激活链接已过期的错误。问题在于，如果有人捕获了 HTTP 请求，尤其是 POST 请求，该请求更改了密码并在工具中再次发送密码字段的新值，它实际上会更新 b2c 中的密码。您能否推荐如何保护此 POST 步骤？

标签： azure-ad-b2cazure-ad-b2c-custom-policy

Answer 1

您可以按照此 Azure AD B2C 示例所述添加验证码质询。

这应该防止直接重播注册步骤。