Azure AD B2C保护的iOS应用能否直接与第三方应用实现SSO？

可以实现iOS平台下受Azure AD B2C保护的App1与第三方IDP的App2之间的直接应用到应用SSO，但需要满足信任配置条件并选择适配的协议与工具库

• 核心前提：两个应用需预先建立信任关系，且App2的身份提供商（IDP）支持接收并验证来自Azure AD B2C的身份断言。
• 直接交互逻辑：借助iOS应用间通信机制（URL Scheme、Universal Links）传递经过签名的身份凭证，跳过中间网页跳转环节。

• OpenID Connect（OIDC）：首选方案。OIDC基于OAuth 2.0扩展，专注身份认证场景，可生成包含用户身份信息的ID Token。App1从Azure AD B2C获取ID Token后传递给App2，App2的IDP只需验证该Token的签名、有效期及受众等字段即可完成身份校验（需提前将Azure AD B2C配置为App2 IDP的信任方）。
• OAuth 2.0：若仅需授权而非完整身份认证，可传递Azure AD B2C颁发的Access Token，但需确保App2的IDP认可该Token的权限范围与合法性。
• SAML：不推荐用于移动应用直接交互。SAML基于XML格式，在移动设备上处理复杂度高，更适配Web场景，而非轻量的应用间通信。

• MSAL for iOS：用于App1与Azure AD B2C的交互，可便捷获取ID Token/Access Token，同时支持iOS钥匙链存储凭证，维护SSO上下文。
• AppAuth for iOS：适配App2的身份验证逻辑，当App2的IDP支持OIDC时，AppAuth可标准化完成ID Token的签名验证、字段校验等操作，确保凭证合法性。
• 自定义通信逻辑：结合iOS的UIApplication.open(_:options:completionHandler:)（URL Scheme）或Universal Links实现凭证传递，注意对敏感数据进行加密处理。

• 信任配置：需在Azure AD B2C租户中注册App2，同时在App2的IDP后台添加Azure AD B2C为信任身份提供商，配置对应的公钥用于Token签名验证。
• 安全防护：传递Token时需通过HTTPS加密传输，或对Token本身进行额外加密，避免凭证泄露。
• 苹果生态合规：确保URL Scheme/Universal Links配置符合苹果开发者规范，应用间通信行为需遵守隐私政策要求。

内容的提问来源于stack exchange，提问作者Erkan Y.