Xamarin Forms应用无法通过某客户端Intune条件访问策略排查

Intune条件访问（CA）策略校验所需的DeviceID，是设备注册到Intune租户时，由系统管理框架写入受保护系统存储区、绑定设备硬件身份的标识，仅对系统信任、具备对应权限的应用开放读取权限，普通沙箱内运行的组件无法直接获取：

• Xamarin默认使用的内置WebView（安卓端Android.Webkit.WebView、iOS端WKWebView）是完全运行在当前应用沙箱内的隔离渲染实例，既没有权限访问系统级受保护存储里的Intune设备注册凭据，也不会在发起认证请求时自动附加设备身份相关的TLS证书/请求头，最终上报给认证服务的DeviceID字段自然为null
• 设备原生浏览器（安卓Chrome、iOS Safari）属于系统预置的受信任应用，本身具备访问设备管理框架凭据的权限，发起SSO请求时会自动从系统存储读取合法DeviceID附加到请求中，因此可以正常通过CA策略校验。

补充说明：从Android 12、iOS 14开始，系统进一步收紧了第三方应用沙箱和系统浏览器的凭据共享权限，Intune存储的设备身份信息不属于普通可共享Cookie范畴，哪怕配置WebView同步浏览器Cookie也无法拿到该字段。

按落地成本和兼容性从优到劣排序：

• 优先替换SSO流程的Web容器为系统提供的认证专用组件：
  • 安卓端弃用内置WebView承载SSO流程，改用Chrome Custom Tabs实现，该组件和系统Chrome共享受信任凭据存储权限，无需额外配置即可自动透传Intune DeviceID，用户体验和内置WebView基本一致，不会跳转到独立浏览器页面
  • iOS端弃用内置WKWebView承载SSO流程，改用系统提供的ASWebAuthenticationSession组件承载认证页，该组件是苹果专门为第三方应用SSO场景设计的，有权限读取系统级企业凭据、Intune注册标识，可自动完成DeviceID透传
• 接入微软官方MSAL SDK完成前置认证：
  不要自行在WebView中实现SSO跳转逻辑，先集成微软官方MSAL for Xamarin SDK完成认证流程，SDK会自动适配Intune CA策略校验逻辑，从系统接口读取合法DeviceID完成认证，拿到有效访问令牌后再注入到WebView请求中走后续业务流程即可，该方案兼容性最好，对现有业务侵入性低
• 内置WebView兜底适配方案（不推荐）：
  如果业务强制要求使用内置WebView承载全流程，需要对应平台集成Intune APP SDK，将应用注册为租户受信任应用，手动开启WebView的托管身份桥接能力：安卓端需要配置企业应用权限允许WebView访问设备管理标识，iOS端需要配置对应Entitlements开启受保护钥匙串访问权限。该方案配置成本高，系统版本兼容性差，后续系统升级容易再次出现鉴权失败问题。

注意：不要尝试自行构造DeviceID字段通过校验，Intune的DeviceID和设备注册时下发的硬件绑定证书强关联，伪造值会直接被CA策略判定为高风险请求，触发账号封禁类风控规则

内容的提问来源于stack exchange，提问作者Karthiga