EntraID OIDC集成问题：iOS无PKCE库调用后端报错咨询

1. 未使用PKCE库为何仍涉及PKCE相关问题？ #

• 你的Web应用在EntraID中的注册配置可能开启了强制PKCE：当应用被标记为公共客户端（比如iOS这类无法安全存储客户端密钥的应用），EntraID默认要求授权码流使用PKCE。即使你用的库不支持PKCE，EntraID在生成auth_code时仍会关联PKCE校验逻辑，导致后端换取token时必须提供匹配的code_verifier。
• 后端的token交换逻辑可能默认校验PKCE参数：Web应用的后端可能是按照带PKCE的授权码流实现的，不管前端是否传入PKCE相关参数，后端都会尝试校验，缺失或不匹配就会报错。

2. 如何在不修改Web后端代码的前提下解决该问题？ #

• 更换支持PKCE的iOS OIDC库：比如使用原版AppAuth-iOS，在发起授权请求时生成code_challenge和code_verifier，获取auth_code后将code_verifier传递给后端，让后端在请求access_token时带上该参数，匹配EntraID的校验要求。
• 调整EntraID应用注册配置：如果允许，将移动端应用单独注册为机密客户端（需配置客户端密钥），此时可以关闭PKCE强制要求；或者修改现有Web应用的配置，允许非PKCE的授权码流（注意：公共客户端关闭PKCE会降低安全性，需谨慎评估）。
• 采用WebView模拟浏览器认证流程（对应第三个问题），直接复用Web端的auth_code生成逻辑，避免触发PKCE校验。

3. 如何让移动端实现与浏览器一致的认证流程？ #

• 使用iOS系统提供的ASWebAuthenticationSession或SFSafariViewController打开EntraID的授权页面，完全模拟浏览器的登录流程：用户在WebView中完成账号密码输入、MFA等认证步骤后，通过URL回调将auth_code返回给移动端应用。
• 这种方式生成的auth_code与Web端完全一致，后端可以直接复用现有逻辑换取token，无需处理PKCE相关参数，同时能共享系统浏览器的登录状态（如果用户之前通过浏览器登录过），提升用户体验。

内容的提问来源于stack exchange，提问作者jim.kaushik