Azure AD配置跨域Angular SPA单点登录（SSO）可行性咨询

完全可以通过Azure AD实现你描述的跨域名Angular SPA单点登录需求，核心是确保两个应用在同一Azure AD租户下完成正确配置，以下是关键配置要点：

1. 确认Azure AD应用注册基础配置 #

• 两个SPA必须注册在同一Azure AD租户下，这是同租户SSO的前提
• 分别为应用A、B配置正确的重定向URI：对应各自域名的认证回调路径，例如https://a.de/auth-callback和https://b.de/auth-callback
• 确保两个应用的认证模式均开启PKCE（Azure AD中SPA应用注册默认支持PKCE，无需额外开启）

2. 统一Azure AD会话设置 #

• 在Azure AD租户的企业应用>会话管理中，调整会话令牌生命周期，确保会话有效期覆盖用户切换应用的场景
• 登录请求的授权端点必须指向同一租户，例如使用https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/authorize，避免使用common（多租户端点会破坏同租户SSO逻辑）

3. Angular应用的MSAL配置对齐 #

两个应用使用@azure/msal-angular库时，需共享核心配置参数：

• 相同的tenantId，各自使用对应的clientId
• authority统一设置为同一租户的授权地址
• 登录请求中包含一致的基础身份范围，例如openid profile email（Azure AD会基于这些范围识别同一会话）
• 避免设置prompt: 'login'（该参数会强制用户重新输入密码），默认或设置prompt: 'none'实现静默登录

4. 跨域会话验证逻辑 #

Azure AD的会话Cookie存储在login.microsoftonline.com域名下，当用户从应用A切换到应用B时，应用B的登录请求会跳转到该授权域，浏览器会自动携带已存在的会话Cookie，Azure AD识别到有效会话后会直接返回授权码，无需用户再次输入密码。

常见问题排查 #

• 如果仍需重复登录，检查是否两个应用的租户ID不一致
• 确认重定向URI已在Azure AD应用注册中正确配置且与应用代码中的设置匹配
• 检查浏览器是否禁用了第三方Cookie（这会导致Azure AD无法读取会话Cookie，破坏SSO）

内容的提问来源于stack exchange，提问作者meiksner