集成Microsoft SSO到Firebase时遇两类验证错误求助

我通过StyledFirebaseAuth为登录页面集成了Google、Microsoft及邮箱/密码三种验证方式，其中Google和邮箱/密码验证功能正常，但Microsoft验证始终无法正常工作，尝试两种配置均报错，具体情况如下：

场景1：注释UI配置中custom parameters的tenant字段时 #

Firebase: Error getting verification code from microsoft.com response: error=invalid_request&error_description=Proof Key for Code Exchange is required for cross-origin authorization code redemption.&state=... (auth/invalid-credential)

场景2：取消注释tenant字段后 #

User account '{{email}}' from identity provider 'live.com' does not exist in tenant 'Microsoft Services'...

已附上相关配置截图及Azure门户配置截图，此前尝试过同类问题的常规解决方案但未奏效，现寻求可行的排查与解决建议。

可行排查与解决建议 #

• 检查Azure AD应用的PKCE配置：确保在Azure门户的Microsoft身份验证服务中，已启用"允许公共客户端流"，同时确认应用注册的"重定向URI"类型为单页应用(SPA)，而非Web应用。PKCE错误通常是因为跨域场景下未正确配置公共客户端模式。
• 核对tenant参数的取值：tenant字段不能填"Microsoft Services"，需使用Azure AD租户的租户ID或域名（如xxx.onmicrosoft.com）。如果是允许个人Microsoft账户登录，应设置tenant为common；若仅允许组织内部账户，使用对应租户ID。
• 验证Firebase与Azure的应用配置一致性：
  • 确保Firebase中Microsoft身份提供商的"客户端ID"与Azure应用注册的"应用程序(客户端)ID"完全一致；
  • 检查Azure应用注册的"重定向URI"是否包含Firebase提供的回调地址（格式通常为https://<your-firebase-project>.firebaseapp.com/__/auth/handler），且已添加到Azure的重定向URI列表中。
• 清理应用缓存与测试环境：清除浏览器缓存，使用无痕模式测试，避免旧的会话或配置缓存干扰验证流程。
• 检查Firebase Auth的提供商状态：确认Firebase控制台中Microsoft身份提供商已启用，且配置的客户端密钥正确（若为Web应用，Azure应用注册的"客户端密码"需正确填入Firebase）。

内容的提问来源于stack exchange，提问作者reactup