Azure AD中基于OIDC的SSO配置咨询（Blazor WASM托管应用）

既然你已经完成应用注册，接下来在Azure AD门户里需要做这些设置来启用OIDC-based SSO：

• 确认并记录核心配置信息
  进入应用注册的"概述"页面，把客户端ID和租户ID记下来，这两个值是Blazor应用配置里必须的。
• 配置重定向URI
  切换到"身份验证"页面，添加适配你部署环境的重定向URI：
  • 生产环境（比如Azure静态Web应用或App Service）：https://<你的应用域名>/authentication/login-callback
  • 本地开发：https://localhost:<端口号>/authentication/login-callback
    别忘了勾选"ID令牌"选项（OIDC登录依赖这个令牌），然后保存配置。
• 启用公共客户端流
  在"身份验证"页面的"高级设置"区域，将"允许公共客户端流"设为"是"。Blazor WASM属于公共客户端，没法安全存储客户端密钥，必须开启这个才能正常完成OIDC流程。
• 配置API权限（按需）
  如果你的应用需要调用受Azure AD保护的API（比如Microsoft Graph），转到"API权限"页面：
  • 添加所需的权限（例如User.Read），如果是面向租户内所有用户的应用，记得点击"授予管理员同意"完成权限生效。
• 验证企业应用的SSO配置
  从应用注册的"概述"页跳转到对应的企业应用，进入"单一登录"页面：
  • 确认SSO方法选择的是"OpenID Connect"，检查重定向URI、客户端ID等信息和应用注册里的配置一致。
  • 可以根据业务需求调整会话设置，比如会话令牌的生存期。
• 同步Blazor应用侧配置
  确保你的Blazor应用appsettings.json里的OIDC配置正确：

  "AzureAd": {
    "Authority": "https://login.microsoftonline.com/<你的租户ID>",
    "ClientId": "<你的客户端ID>",
    "ValidateAuthority": true
  }
  

  同时在Program.cs中正确注入OIDC认证服务：

  builder.Services.AddOidcAuthentication(options =>
  {
      builder.Configuration.Bind("AzureAd", options.ProviderOptions);
  });
  

内容的提问来源于stack exchange，提问作者sada