Azure B2C与MSAL.js Angular多Web应用SSO认证失败问题

针对你的两个疑问直接解答： #

1. 实现跨应用SSO，需为每个应用单独注册还是共用同一client ID？ #

两种方案均支持，具体选择取决于你的权限管理需求：

• 共用同一Client ID：适合权限完全一致的关联应用，配置更简单，只要缓存配置正确就能自动共享会话。缺点是无法单独控制每个应用的权限，所有应用共享同一API权限范围。
• 单独注册应用：推荐用于需要独立权限管控的场景，只要满足以下条件即可实现SSO：
  • 所有应用归属同一Azure B2C租户
  • 使用完全相同的用户流（登录策略）
  • 应用注册的重定向URI属于同一根域名（本地测试需包含对应端口）
  • MSAL.js配置确保缓存可跨应用访问

2. 同域名不同子域名（或本地不同端口）是否会影响SSO生效？ #

• 同域名不同子域名：本身不会影响Azure B2C的核心SSO会话（因为会话Cookie存储在B2C租户域名下），但需要调整MSAL.js配置：
  • 设置cacheLocation: 'localStorage'（默认sessionStorage仅局限于当前站点会话）
  • 添加cookieDomain: '.your-root-domain.com'（注意前缀的点，让Cookie可跨子域名访问）
• 本地不同端口：浏览器会将不同端口视为独立站点，sessionStorage无法跨端口共享，因此必须：
  • 将MSAL的cacheLocation改为localStorage
  • 确保两个应用的authority配置完全一致
  • 在Azure B2C应用注册中添加对应端口的重定向URI（如http://localhost:4200、http://localhost:4201）

针对你遇到的具体问题（ssoSilent报错AAB2C90077）的修复步骤： #

1. 调整MSAL.js核心配置：

   // 示例Angular MSAL配置
   export const msalConfig = {
     auth: {
       clientId: "your-client-id",
       authority: "https://your-tenant.b2clogin.com/your-tenant.onmicrosoft.com/B2C_1_your-user-flow",
       redirectUri: "http://localhost:4200", // 对应各自应用的地址
       postLogoutRedirectUri: "http://localhost:4200",
     },
     cache: {
       cacheLocation: "localStorage", // 替换默认的sessionStorage
       storeAuthStateInCookie: false, // 生产环境如需兼容旧浏览器可开启
       cookieDomain: ".your-root-domain.com" // 生产环境配置，本地测试可省略
     }
   };
   

2. 检查Azure B2C应用注册配置：
   • 确保所有应用的「支持的账户类型」设置一致（建议选「任何标识提供者或组织目录中的账户」）
   • 为每个应用添加完整的重定向URI（包括本地测试的端口地址）
   • 验证用户流的会话配置：进入用户流→「属性」，确认会话生命周期未设置过短，会话超时行为为「滚动会话」
3. 本地测试注意事项：
   • 关闭浏览器的第三方Cookie限制（部分浏览器隐私模式会默认拦截）
   • 清除浏览器缓存与Cookie后重新测试，避免旧会话干扰

内容的提问来源于stack exchange，提问作者user25230787