基于Azure AD B2C的多SPA可选登录与SSO状态无跳转检测问询

问题描述 #

我们有多个以React为主的前端SPA应用，支持未认证用户匿名访问，已登录用户可访问特权功能并通过令牌调用后端API。要求实现透明化SSO：任一应用登录后，其余应用自动同步登录状态。

当前核心需求：应用首次加载时，若用户已通过SSO登录则自动获取令牌；但禁止使用重定向流程——未登录时不能跳转登录页，仅当用户主动点击登录链接时才展示登录页。

我们调研了MSAL的ssoSilent功能，逻辑上符合需求，但它依赖第三方Cookie，在部分浏览器中无法正常工作。我考虑过通过重定向到静默登录页，若用户未登录则携带匿名标识参数跳转回原应用，但不确定Azure AD B2C是否支持这种方案。

解决方案 #

1. 利用Azure AD B2C的静默授权流（推荐） #

Azure AD B2C原生支持基于PKCE的授权码静默模式，可在无页面跳转的前提下检测登录状态：

• 调用MSAL的acquireTokenSilent方法，该方法优先从本地缓存获取令牌；若缓存失效，会向B2C端点发起静默请求。
• 若用户已通过SSO登录，会自动返回有效令牌；若未登录，会返回login_required错误，此时保持应用的匿名访问状态即可，无需触发跳转。

2. 自定义静默检测页方案（你的构想可实现） #

Azure AD B2C支持自定义用户旅程和登录页面，可以实现你提到的逻辑：

• 配置一个专门的静默检测页作为B2C自定义页面，当应用重定向到该页面时：
  • 若用户已登录，页面自动调用B2C令牌接口获取凭证，随后跳回原应用并携带令牌；
  • 若用户未登录，页面直接携带预设的匿名标识参数跳回原应用，全程无用户交互。
• 需通过自定义B2C策略（Custom Policy）编写用户旅程，添加登录状态判断步骤，根据结果执行不同跳转逻辑。

3. 跨应用状态同步补充方案 #

针对第三方Cookie限制的场景，可结合以下方式优化SSO体验：

• 用户主动登录成功后，通过**加密的localStorage**存储登录状态标识，其他SPA加载时读取该标识，再调用acquireTokenSilent验证有效性；
• 同域下应用可通过Broadcast Channel API实现登录状态实时同步；跨域场景可借助后端服务传递状态通知。

关键注意事项 #

• 所有登录相关操作必须由用户主动触发，匿名访问状态下禁止自动触发登录逻辑；
• 处理acquireTokenSilent的错误时，若收到login_required，需保持应用匿名模式，禁止自动跳转登录页；
• 自定义B2C用户旅程时，需严格遵循Azure AD B2C的安全规范，避免出现权限漏洞。

内容的提问来源于stack exchange，提问作者undefined