从Xamarin迁移至MAUI：如何用Client ID和Secret Key生成授权令牌？

错误原因 #

你遇到的问题核心是：移动端属于公共客户端（Public Client），MSAL明确禁止在这类平台使用机密客户端（Confidential Client）及客户端密钥（Client Secret）。此前ADAL代码用的客户端凭证流，在移动端本身就存在安全隐患——客户端密钥会被打包进应用，极易被反编译窃取，所以MSAL直接禁用了该场景。

正确实现思路 #

结合你的手机号登录需求，应采用公共客户端的授权码流（带PKCE），通过交互式登录引导用户输入手机号完成认证，全程避免暴露客户端密钥。

步骤1：Azure AD应用注册配置 #

先确保你的Azure AD应用已适配移动端：

• 登录Azure门户进入应用注册页面，切换到「身份验证」标签
• 添加对应平台的重定向URI：
  • Android：msal{你的ClientId}://auth
  • iOS：msal{你的ClientId}://auth
  • Windows/macOS：https://login.microsoftonline.com/common/oauth2/nativeclient

步骤2：MAUI中的MSAL代码实现 #

替换你现有的错误代码，使用PublicClientApplicationBuilder构建公共客户端，并实现手机号优先的交互式登录：

using Microsoft.Identity.Client;

public async Task<string> GenerateAuthenticationTokenAsync(string[] scopes, string userPhoneNumber)
{
    // 构建公共客户端实例
    var pca = PublicClientApplicationBuilder.Create(ClientId)
        .WithAuthority(TokenAuthority)
        .WithRedirectUri(GetPlatformSpecificRedirectUri())
        .Build();

    // 配置登录参数，指定手机号作为登录提示
    var authResult = await pca.AcquireTokenInteractive(scopes)
        .WithLoginHint(userPhoneNumber) // 传入用户预先输入的手机号
        .WithPrompt(Prompt.SelectAccount) // 可选：强制选择账号或跳过已登录会话
        .ExecuteAsync();

    return authResult.AccessToken;
}

// 根据MAUI运行平台返回对应重定向URI
private string GetPlatformSpecificRedirectUri()
{
#if ANDROID
    return $"msal{ClientId}://auth";
#elif IOS
    return $"msal{ClientId}://auth";
#else
    return "https://login.microsoftonline.com/common/oauth2/nativeclient";
#endif
}

额外说明 #

如果你的手机号登录是通过自定义API验证手机号后获取令牌（而非Azure AD原生手机号登录），可以按以下逻辑调整：

1. 先调用自定义API验证手机号有效性，获取临时凭证
2. 使用该临时凭证通过Azure AD的设备代码流获取令牌（不推荐用户名密码流，安全性极低，仅适用于无MFA场景）

• 切记：移动端应用绝对不能存储或使用客户端密钥，这会直接导致应用安全漏洞

内容的提问来源于stack exchange，提问作者Xamarin