UWP桌面应用操作Azure Blob存储：无clientSecret情况下获取访问令牌的技术咨询

刚好之前做过类似的UWP+Azure Blob开发，针对你不想嵌入clientSecret的需求，完全可以采用公共客户端认证流程（因为UWP属于无法安全存储机密信息的公共客户端，不能用机密客户端的方式），下面是几个实用的方案，按推荐优先级排序：

1. 交互式身份验证流程（最推荐） #

这是最适合桌面UWP应用的方式，通过弹出Azure AD的登录界面，让用户输入账号密码或者用Windows Hello、公司账户等方式登录，MSAL（Microsoft Authentication Library）会自动帮你处理令牌的获取和刷新，全程不需要暴露任何机密信息。

实现步骤： #

• 首先安装MSAL的NuGet包：Microsoft.Identity.Client
• 在Azure AD应用注册的「身份验证」页面，添加UWP专属的重定向URI：msal<你的ClientID>://auth（把<你的ClientID>替换成实际的clientID）
• 编写核心代码：

using Microsoft.Identity.Client;

// 替换成你的实际参数
string clientId = "你的ClientID";
string tenantId = "你的TenantID";
// Azure Storage的委托权限，确保你已经在应用注册里添加了这个权限
string[] scopes = new string[] { "https://storage.azure.com/user_impersonation" };

// 初始化公共客户端应用
var publicClientApp = PublicClientApplicationBuilder
    .Create(clientId)
    .WithTenantId(tenantId)
    .WithRedirectUri($"msal{clientId}://auth")
    .Build();

// 弹出登录界面获取令牌
var authResult = await publicClientApp.AcquireTokenInteractive(scopes)
    .ExecuteAsync();

// 获取到的访问令牌，直接用来调用Azure Blob的API
string accessToken = authResult.AccessToken;

这个方案的优势是安全、用户体验好，还能自动处理令牌过期刷新的问题。

2. 设备代码流（适合无UI或受限场景） #

如果你的UWP应用是后台运行或者设备无法弹出登录界面（比如某些嵌入式场景），可以用设备代码流：应用生成一个验证代码和URL，用户在其他设备（比如手机、电脑）的浏览器里打开URL输入代码完成登录，然后应用就能获取到令牌。

核心代码示例： #

var authResult = await publicClientApp.AcquireTokenWithDeviceCode(scopes, deviceCode =>
{
    // 在UWP里可以用弹窗或者文本控件显示这些信息给用户
    Debug.WriteLine($"请打开 {deviceCode.VerificationUri}，输入代码 {deviceCode.UserCode} 完成登录");
    return Task.CompletedTask;
}).ExecuteAsync();

3. Windows集成身份验证（企业域环境专属） #

如果你的应用是在企业Azure AD域环境下使用，用户的Windows账号已经加入域，可以用这个流程自动获取当前用户的身份，不需要手动登录：

核心代码示例： #

var authResult = await publicClientApp.AcquireTokenByIntegratedWindowsAuth(scopes)
    .ExecuteAsync();

注意：这个方案要求用户的Windows账号属于你的Azure AD租户，并且应用注册里已经配置了对应的权限。

最后注意事项： #

• 确保你在Azure AD应用注册里添加的是委托权限（比如user_impersonation），而不是应用权限（应用权限需要机密凭证，不适合UWP）
• 令牌获取后，可以直接用于Azure.Storage.Blobs SDK的认证，比如：

var blobServiceClient = new BlobServiceClient(
    new Uri("https://<你的存储账户名>.blob.core.windows.net"),
    new TokenCredential(accessToken));

内容的提问来源于stack exchange，提问作者Shabaz