如何配置Sign in with Apple实现多端共享后端登录？

问题1：Web、移动端共享同一后端的Sign in with Apple配置方案 #

核心调整点： #

1. 移动端App ID配置

   • 确保iOS移动端的App ID（org.terraso.test.Terraso-LandPKS）已启用Sign in with Apple功能，且关联到主App ID（org.terraso.terraso）——这一步你已完成，需确认该App ID的Sign in with Apple状态为启用。
   • 移动端使用expo-apple-authentication时，clientId必须填写自身的Bundle ID（org.terraso.test.Terraso-LandPKS），而非服务标识符org.terraso.app。

2. 后端验证逻辑调整

   • 当前后端仅将org.terraso.app设为唯一验证受众（audience），但移动端返回的Apple JWT的aud字段是其Bundle ID，因此触发InvalidAudienceError。
   • 修改后端APPLE_CLIENT_ID配置为包含服务标识符和所有移动端Bundle ID的列表，示例：

     APPLE_CLIENT_ID = ["org.terraso.app", "org.terraso.test.Terraso-LandPKS"]
     

   • 同步调整JWT验证逻辑，支持多受众校验（确保校验aud时检查是否在列表中，而非严格匹配单个值）。

3. Web端保持现有配置

   • Web应用继续使用服务标识符org.terraso.app作为clientId，现有URL配置无需改动。

调整后，Web端通过服务ID发起OAuth请求，移动端通过自身Bundle ID发起原生登录，后端可正确验证不同来源的JWT，实现共享同一后端的登录逻辑。

问题2：App Groups的使用场景与主Apple ID关联的区别 #

是否需要App Groups？ #

不需要。App Groups的核心作用是让同一开发者账号下的多个App共享数据（如钥匙串、共享存储），与Sign in with Apple的登录认证逻辑无关。若没有跨App数据共享需求，你创建的group.org.terraso可忽略。

何时使用App Groups？ #

当需要让多个App之间共享用户登录状态（如钥匙串中存储的令牌）、共享配置或其他数据时，才需配置App Groups并在代码中启用相应的共享逻辑。

何时使用“关联现有主Apple ID”？ #

当你有多个同系列App（如主App、测试版App、多平台App），需要统一管理Sign in with Apple权限，或让用户在一个App登录后，其他关联App可自动识别登录状态时，可通过关联主Apple ID的方式，让多个App ID共享同一Sign in with Apple配置，无需为每个App单独申请权限。你当前移动端App ID关联主Web App ID的做法是正确的，适配多App共享登录身份的场景。

内容的提问来源于stack exchange，提问作者Paul Schreiber