无用户登录的Kiosk移动应用应选用哪种OAuth授权流？

核心场景梳理 #

你的Kiosk应用无需用户登录，仅需提交用户提供的优惠券编号、订单号到受Azure AD保护的API，运行环境为非安全手持设备（无法保证客户端凭证的存储安全）。

直接用Client Credential流的风险 #

Client Credential流专为安全的服务器端应用设计，要求客户端存储机密密钥或证书。但非安全手持设备存在明显漏洞：

• 硬编码的密钥可通过反编译APP提取
• 物理获取设备后能导出本地存储的凭证
• 凭证泄露后，攻击者可完全冒充你的应用调用API，导致恶意数据提交或篡改

推荐方案：引入中间代理服务 #

这是最匹配你场景的方案，核心是把凭证安全风险转移到服务器端：

• 架构流程：Kiosk应用 → 私有中间服务（部署在安全服务器） → Azure AD保护的目标API
• 具体实现：
  1. 中间服务作为机密客户端，使用Client Credential流获取Azure AD访问令牌，密钥存储在服务器的安全环境（如环境变量、密钥管理服务）
  2. Kiosk应用与中间服务之间采用轻量认证：比如给每个设备分配唯一API密钥（定期轮换），或基于设备标识的请求签名验证
  3. Kiosk将用户提供的业务数据发送到中间服务，中间服务先验证数据合法性，再用AD令牌调用目标API完成数据存储

备选方案（仅场景允许时考虑） #

如果能接受管理员初始化设备的操作，可以用Device Code Flow：

• 设备首次启动时，显示设备码，管理员用有权限的Azure AD账号在其他终端完成授权
• 设备获取长期有效的刷新令牌，之后无需用户登录，直接用刷新令牌换取访问令牌调用API
• 劣势：需要管理员介入初始化，不符合完全无用户登录的需求

内容的提问来源于stack exchange，提问作者GitGood