如何在Azure AD中为动态应用URL配置动态重定向URL？

• 使用Azure AD通配符重定向URL（限信任子域名场景）
  Azure AD支持在已验证的根域名下配置通配符重定向URL，比如*.domain.com/path/to/resource。先在Azure AD中完成domain.com的域名验证，再添加该通配符地址。注意这种方式会降低安全门槛，仅适用于你完全信任所有子域名的情况。

• 后端统一回调代理方案
  配置一个固定的后端回调地址（如your-server.com/auth/callback）作为Azure AD的重定向URL。前端发起登录请求时，把当前动态页面的URL存入session或加密后放到state参数里；Azure AD授权后将授权码发送到后端，后端解析state拿到原始动态页面地址，再把授权码（或兑换好的access token）转发给对应的前端页面。

• PKCE流程适配弹窗场景（推荐）
  针对弹窗登录的前端场景，用OAuth 2.0的PKCE流程更合适：

  1. 前端生成code_verifier和code_challenge，发起登录请求时携带code_challenge，并将固定的回调页面（如your-app.com/auth-callback）设为重定向URL。
  2. 回调页面拿到授权码后，用code_verifier兑换token。
  3. 通过postMessage API将token发送回原始动态页面的弹窗——只要弹窗和父页面同属一个根域名，跨子域名的postMessage通信是允许的。

• 关于新建应用的疑问
  没必要额外创建Azure AD应用注册，只会增加管理成本，上述方案足以覆盖你的需求。

内容的提问来源于stack exchange，提问作者emal