Web应用能否无需Client Secret Id实现MS SSO单点登录？

结论：仅需User.Read权限实现用户登录的Web应用，确实可以无需Client Secret完成MS SSO，但需要调整认证流程与应用配置

可行方案说明 #

• 授权码流 + PKCE模式（推荐）
  PKCE原本为公共客户端设计，微软身份平台也支持机密客户端（Web应用）使用该模式替代Client Secret：

  1. 在Azure AD应用注册的「身份验证」页面，将「允许公共客户端流」设置为「是」
  2. 发起授权请求时，生成随机的code_verifier和对应的code_challenge，携带code_challenge、code_challenge_method参数
  3. 交换授权码获取令牌时，提交code_verifier而非Client Secret
     该方案既避免了Client Secret的使用，又保留了服务器端认证的安全性

• ID令牌隐式流（不推荐）
  隐式流直接在前端返回ID令牌，无需后端交换授权码，因此不需要Client Secret，但令牌会暴露在前端，存在安全风险，仅适合纯前端场景：

  1. 在Azure AD应用注册中启用隐式流，勾选「ID令牌」选项
  2. 认证请求直接请求ID令牌，前端获取后传给后端验证

关键注意事项 #

• 确保应用注册的回调URL配置正确，权限范围仅申请User.Read（委托权限，用户登录时自动授权）
• 若原应用使用标准授权码流（带Client Secret），切换到PKCE模式需要修改认证逻辑，新增PKCE参数的生成与验证步骤

内容的提问来源于stack exchange，提问作者Abdul Hadi P C