iOS中ASWebAuthenticationSession与SFSafariViewController的SSO Cookie共享问题及替代方案

问题1：同一应用中，ASWebAuthenticationSession与SFSafariViewController是否允许共享持久或会话Cookie？ #

这取决于iOS版本及Cookie配置：

• iOS 13-14：两者默认共享系统Safari的Cookie池，理论上支持持久Cookie和会话Cookie共享。但以下情况会导致共享失败：

  • Keycloak设置的Cookie带有SameSite=Strict/SameSite=Lax属性，跨组件跳转时请求无法携带Cookie；
  • ASWebAuthenticationSession遵循RFC 8252安全建议，认证完成后可能自动清理部分会话Cookie；
  • Cookie未正确设置Secure（HTTPS场景下）或HttpOnly属性，被iOS隐私机制拦截。

• iOS 15+：苹果默认将ASWebAuthenticationSession的Cookie池与系统Safari隔离，而SFSafariViewController仍共享系统Safari的Cookie池，因此默认无法共享。即使设置prefersEphemeralWebBrowserSession = false（仅iOS 15+支持）启用非临时会话，也可能因SameSite等属性限制导致共享失败。

问题2：若不可行，有哪些替代方案？ #

方案1：用WKWebView替代SFSafariViewController #

• 利用AppAuth获取的访问令牌，通过Authorization: Bearer <token>请求头注入WKWebView的所有请求；
• 若网站依赖Cookie认证，可通过WKHTTPCookieStore手动将Keycloak的认证Cookie添加到WKWebView的Cookie池（需确保Cookie的SameSite设为None且标记Secure）。

方案2：调整Keycloak的Cookie配置 #

• 将认证Cookie的SameSite属性设为None，同时必须开启Secure属性，允许跨上下文的Cookie传递；
• 延长会话Cookie的有效期，避免ASWebAuthenticationSession清理后失效。

方案3：统一使用ASWebAuthenticationSession加载受保护内容 #

• 直接用ASWebAuthenticationSession打开目标网站，iOS 15+需设置prefersEphemeralWebBrowserSession = false以保留Cookie；
• 注意：ASWebAuthenticationSession的界面带有固定导航栏，可能影响用户体验。

方案4：通过自定义URL scheme传递认证令牌 #

• 认证完成后，将访问令牌通过自定义URL scheme传递回应用；
• 在加载网站时，将令牌通过请求头或URL参数注入，无需依赖Cookie共享。

内容的提问来源于stack exchange，提问作者Josh Harness