网站采用Azure B2C，Flutter App如何实现多方式跨端认证？

你的思路完全正确，原生集成是当前解决你问题的最优方案，之前尝试的WebView、Chrome Custom Tabs方案存在无法绕过的硬伤：

• Google、Facebook的第三方认证明确禁止WebView嵌入，篡改用户代理属于违规操作，随时可能被封禁；
• Chrome Custom Tabs对msauth://这类自定义URI scheme的重定向限制，临时 workaround 会严重破坏用户体验，不适合正式环境。

下面是具体的落地路径：

1. 邮箱/密码登录：用ROPC流实现原生表单登录 #

自己在Flutter中构建邮箱、密码输入表单，收集用户凭证后，直接调用Azure B2C的Resource Owner Password Credentials (ROPC) 授权流获取token：

• 构造POST请求到你的Azure B2C租户的token端点（格式类似https://<tenant-name>.b2clogin.com/<tenant-name>.onmicrosoft.com/<policy-name>/oauth2/v2.0/token）；
• 请求参数包含：grant_type=password、client_id（你的Azure B2C应用ID）、username、password、scope（需包含openid及你的API权限）；
• 拿到返回的id_token、access_token和refresh_token后，用flutter_secure_storage这类安全存储工具保存，后续访问后端API时携带access_token即可完成身份验证。

注意：ROPC流仅支持Azure B2C的本地账户，且无法适配启用MFA的账户，如果你的租户强制MFA，需要避免用这个流处理这类用户，或者引导用户使用支持MFA的登录方式。

2. 社交登录：原生包+Azure B2C token兑换 #

对于Google、Facebook这类第三方登录，直接用Flutter社区成熟的原生集成包，拿到第三方token后再兑换成Azure B2C的凭证：

• Google登录：使用google_sign_in包完成原生授权，获取Google的id_token；然后向Azure B2C的token端点发送POST请求，参数设置grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer、client_id、assertion（即Google的id_token）、scope等，兑换得到Azure B2C的token；
• Facebook登录：使用flutter_facebook_auth包获取Facebook的access_token，同样通过上述JWT Bearer Exchange流，将Facebook token兑换为Azure B2C的token。

这种方式既符合Google、Facebook的认证政策，又能保证用户凭证和你的ASP.NET网站完全统一。

3. 统一凭证管理 #

• 所有通过上述方式获取的token，都要统一处理过期刷新逻辑：当access_token过期时，用refresh_token调用Azure B2C的token端点，获取新的access_token和refresh_token，避免用户重复登录；
• 确保App内的所有API请求都携带有效的Azure B2C access_token，后端ASP.NET网站已经集成Azure B2C，无需额外适配即可识别这些token。

内容的提问来源于stack exchange，提问作者Greg Quinn