Xamarin.Forms对接ASP.NET Web API社交登录时Web Authenticator无法获取访问令牌

问题核心原因 #

你当前无法获取access token的核心原因是身份验证请求中使用了Web端的HTTPS回调地址，Xamarin应用无法捕获该地址的跳转结果，自然无法解析地址哈希中携带的令牌参数。

1 后端ASP.NET Web API适配调整 #

• 配置移动端专属回调白名单：新增应用自定义scheme的回调地址（格式为你的应用包名://auth，例如com.yourappname://auth），加入Web API的OAuth允许回调列表。
• 保持原有授权逻辑不变：只要传入的redirect_uri在白名单内，登录完成后将令牌参数拼接到该回调地址的哈希段后跳转即可，和原有Web端回调逻辑一致，示例跳转地址如下：

  com.yourappname://auth#access_token={实际令牌值}&token_type=bearer&expires_in=1209600&state={你传入的state值}
  

2 Xamarin.Forms端配置调整 #

2.1 各平台回调scheme注册 #

• Android端：在AndroidManifest.xml中添加intent-filter，注册你使用的自定义scheme，示例配置：

  <activity android:name="Microsoft.Maui.Essentials.WebAuthenticatorCallbackActivity" android:exported="true">
    <intent-filter>
      <action android:name="android.intent.action.VIEW" />
      <category android:name="android.intent.category.DEFAULT" />
      <category android:name="android.intent.category.BROWSABLE" />
      <data android:scheme="com.yourappname" android:host="auth" />
    </intent-filter>
  </activity>
  

• iOS端：在Info.plist中添加URL Types配置，设置URL scheme为你定义的包名字符串（示例为com.yourappname）。

2.2 调整WebAuthenticator调用参数 #

请求认证地址中的redirect_uri参数替换为你自定义的移动端回调地址（注意要做URL编码），同时将该回调地址作为AuthenticateAsync方法的第二个参数传入。

3 令牌获取代码示例 #

try
{
    // 生成随机state用于防CSRF攻击
    var state = Guid.NewGuid().ToString("N");
    // 编码回调地址
    var encodedRedirectUri = Uri.EscapeDataString("com.yourappname://auth");
    // 拼接认证地址
    var authUrl = new Uri($"https://api.example.com/api/Account/ExternalLogin?provider=Facebook&response_type=token&client_id=self&redirect_uri={encodedRedirectUri}&state={state}");
    
    // 发起认证
    var authResult = await WebAuthenticator.AuthenticateAsync(authUrl, new Uri("com.yourappname://auth"));

    // 直接获取access token
    var accessToken = authResult.AccessToken;
    // 可按需获取其他返回参数
    var tokenType = authResult.Properties["token_type"];
    var expiresIn = authResult.Properties["expires_in"];

    // 拿到令牌后可调用后端api/account/registerexternal接口完成账号绑定，或直接调用其他业务接口
}
catch (OperationCanceledException)
{
    // 处理用户主动取消登录的场景
}
catch (Exception ex)
{
    // 处理其他登录异常
}

4 注意事项 #

• 必须保证认证地址中传入的redirect_uri、后端白名单配置的回调地址、AuthenticateAsync方法传入的回调地址三者完全一致，否则会出现授权失败。
• 回调返回后要校验返回的state参数和你发起请求时生成的state参数是否一致，避免CSRF攻击。
• 不需要修改原有Web端的社交登录逻辑，仅需新增移动端专属回调配置即可。

内容的提问来源于stack exchange，提问作者Su Ming Yuan