如何在无浏览器的WPF/C#应用中实现Azure AD MFA认证？

用户需求与示例代码 #

我正尝试在WPF/C#应用中不使用浏览器，通过自定义WPF用户界面实现Azure AD多因素认证（MFA）。AWS Cognito有这样的认证/挑战流程：用户登录后，Cognito向手机发送令牌，用户输入令牌完成验证。想确认：

1. Azure AD是否提供类似的认证/挑战流程？
2. 有没有适配自定义WPF/C#界面的示例？
3. 当前设备无法访问浏览器，现有示例都调用浏览器结合Microsoft Authenticator完成认证——如果能在WPF界面展示验证码，让用户在手机上确认，这种方式也可接受，Azure AD是否支持？
4. 如何使用嵌入式WebView2组件实现基于浏览器的认证？

附期望的挑战流程示例代码：

private void LoginUsingWPFUI()
{
    string username = "xxxx";  // 从UI获取
    string password = "Password";  // 从UI获取
    var AuthService = AuthService("TenantID", "Otherparams..");
    AuthService.ChallengeCallback = ChallengeCallback;
    // 使用用户名和密码登录
    var result = LoginToAzureADWorkAccount(username, password);
}
public void ChallengeCallback(AuthChallenge challenge)
{
    switch (challenge.Token)
    {
        case "PresentTokenToUser":
            ShowToken(challenge.Token);
            // 认证挑战
            break;
        case "ChallengeAcceptedHideToken":
            HideToken();
            // 登录成功
            break;
        default:
            // 登录失败...
            break;
    }
}

1. Azure AD是否支持无浏览器的挑战式MFA流程？ #

Azure AD支持资源所有者密码凭据（ROPC）流，该流程允许应用直接收集用户名和密码向Azure AD请求令牌，同时支持MFA挑战。但ROPC有严格限制：

• 仅适用于Azure AD租户账户（个人微软账户不支持）
• 需在Azure AD应用注册中启用"允许使用资源所有者密码凭据"选项
• 触发MFA时，Azure AD会返回interaction_required错误，此时可通过设备代码流实现你想要的模式：WPF界面展示验证码，用户在手机Authenticator中确认，和你期望的流程完全匹配。

2. 自定义WPF UI的实现思路 #

用MSAL.NET（微软身份验证库）即可实现回调式挑战流程：

private async Task LoginUsingWPFUI()
{
    string username = "xxxx"; // 从WPF控件获取
    string password = "xxxx"; // 从WPF控件获取
    var scopes = new[] { "User.Read" };
    var _pca = PublicClientApplicationBuilder
        .Create("你的客户端ID")
        .WithTenantId("你的租户ID")
        .Build();

    try
    {
        // 尝试ROPC流登录
        var result = await _pca.AcquireTokenByUsernamePassword(scopes, username, password).ExecuteAsync();
        // 登录成功，处理令牌
    }
    catch (MsalUiRequiredException)
    {
        // 触发MFA，切换到设备代码流
        await _pca.AcquireTokenWithDeviceCode(scopes, deviceCode =>
        {
            // 在WPF界面展示验证码和验证提示
            ShowToken(deviceCode.UserCode);
            return Task.CompletedTask;
        }).ExecuteAsync();
        // 用户确认后，自动获取令牌，隐藏验证码UI
        HideToken();
    }
}

设备代码流中，Azure AD生成的验证码会通过回调传递给WPF界面，用户在手机Authenticator中输入验证码或点击验证链接完成确认，应用端自动获取认证结果。

3. 使用WebView2实现嵌入式浏览器认证 #

如果允许用嵌入式浏览器，MSAL.NET支持直接集成WebView2：

1. 先在WPF项目中添加WebView2控件
2. 构建MSAL客户端时指定使用嵌入式WebView：

var _pca = PublicClientApplicationBuilder
    .Create("你的客户端ID")
    .WithTenantId("你的租户ID")
    .WithRedirectUri("http://localhost")
    .WithEmbeddedWebView()
    .Build();

3. 调用交互式认证方法，MSAL会自动将Azure AD的认证页面加载到WebView2中：

var result = await _pca.AcquireTokenInteractive(new[] { "User.Read" })
    .WithParentActivityOrWindow(new WindowInteropHelper(Application.Current.MainWindow).Handle)
    .ExecuteAsync();

这种方式完全在WPF应用内完成所有认证步骤，包括MFA，无需调用外部浏览器。

注意事项 #

• ROPC流因直接处理用户密码，存在安全风险，仅在极端场景下使用，设备代码流或嵌入式WebView是更安全的替代方案
• 设备代码流要求用户手机能访问互联网，但不需要设备本身有浏览器

内容的提问来源于stack exchange，提问作者Duncan Groenewald