移动端ADFS SAML SSO流程能否自动完成Authenticator MFA验证

基于TOTP的Authenticator验证码校验本身设计为需用户手动参与的交互环节，不存在完全静默自动取码代填的合规实现，但可以通过以下配置调整，在现有SAML 2.0协议框架内消除手动切App取码、输码的体验断点，全程不打断用户操作流：

方案1：替换手动输码的MFA校验模式（体验最优） #

• 启用ADFS受信设备声明透传：ADFS 2016及以上版本支持将Hybrid Azure AD Join、本地AD域注册的合规设备状态作为SAML声明值透传。移动端发起SAML请求时，通过系统原生认证组件（iOS用ASWebAuthenticationSession、安卓用Custom Tabs对接系统账号服务）透传设备合规状态，在ADFS MFA策略里配置「合规受信设备发起的认证请求跳过TOTP校验」，整个流程全程在当前App内完成，无任何额外交互。
• 切换为推送式MFA校验：将当前TOTP验证码校验规则替换为Microsoft Authenticator的号码匹配/一键同意推送校验（ADFS 2019及以上原生支持）。用户发起SSO时，Authenticator会弹出推送提醒，用户点击确认后ADFS会自动完成MFA校验并跳转回原App，不需要记码、输码，也不需要手动切换应用。

方案2：启用系统级验证码自动填充（改造成本最低） #

• 不需要修改SAML核心流程，只需要自定义ADFS的MFA验证码输入页，给验证码输入框加上系统自动填充标识：iOS端配置textContentType为oneTimeCode，安卓端配置autofillHints为AUTOFILL_HINT_SMS_OTP（适配支持系统自动填充的TOTP应用）。配置完成后，iOS 15+、安卓12+系统会自动识别Authenticator生成的对应账号TOTP码，直接在输入法候选栏展示，用户点选即可自动填充，全程不需要切出当前App。
• 注意：不要尝试开发跨应用读取Authenticator存储内容的逻辑，移动端系统沙箱机制禁止普通应用访问其他应用的私有存储，这类实现会直接被App Store、谷歌应用商店拒审，同时存在严重安全风险。

方案3：基于SAML认证上下文配置MFA跳过规则 #

• 移动端发起的SAML认证请求中，可以携带已完成本地生物识别（面容/指纹校验）的认证上下文声明，在ADFS的MFA触发规则中新增条件：针对已完成本地生物校验、且来自已注册绑定的移动设备的请求，直接签发SAML断言跳过MFA步骤。该配置完全符合SAML 2.0协议规范，不需要调整现有SAML对接逻辑。

所有优化方案都不能突破MFA的安全设计底线：不要尝试实现无用户感知的静默TOTP码拉取、代填逻辑，这类操作会直接消解MFA的多因子防护价值，同时违反主流移动操作系统的权限规则与应用商店审核要求。

内容的提问来源于stack exchange，提问作者steveinatorx