OutSystems PWA集成Azure AD SSO遇iframe嵌入限制，求可行解决方案

微软身份平台的登录页面默认设置了X-Frame-Options: DENY和严格的CSP策略，禁止被任何第三方站点嵌入iframe，属于防钓鱼的强制安全规则，所有尝试iframe嵌入登录页的方案都无法落地，无需继续尝试。

推荐实现方案：MSAL.js v2 + OAuth 2.0 授权码流（PKCE增强） #

这是微软官方针对单页应用/PWA场景的标准认证方案，完全适配OutSystems PWA的运行上下文，具体落地步骤如下：

• 第一步：在Azure Portal完成应用注册，应用类型选择单页应用(SPA)，重定向URI填写你的PWA正式访问地址（需和后续代码配置完全一致），开启ID令牌、访问令牌的下发权限，配置好所需的API权限scope。
• 第二步：OutSystems端不要使用Idp Mobile组件（该组件仅适配原生打包的移动端应用，不支持PWA的浏览器上下文），直接引入微软官方的MSAL.js v2库做客户端认证逻辑，也可以复用OutSystems自带的OAuth 2.0客户端配置模块，开启PKCE校验开关。
• 第三步：登录流程触发时调用loginRedirect()方法，直接从顶层页面跳转到Azure AD登录页，用户完成身份校验后会自动跳转回你预先配置的PWA回调地址，MSAL会自动解析回调参数中的授权码，完成令牌兑换和身份校验，你直接从返回的ID令牌中提取用户身份信息生成本地会话即可。

体验优化方案：弹出页登录模式 #

如果不想让用户感知到页面跳转，可以改用弹出页登录的方式：

• 调用loginPopup()方法打开独立的小窗加载Azure AD登录页，用户完成登录后弹窗会自动关闭，身份信息回传给PWA主页面，整个过程主页面无需刷新，体验接近内嵌登录的效果。
• 注意需要提前做好站点弹窗拦截的引导提示，避免被浏览器默认策略拦截登录窗口。

关键配置注意事项 #

• 应用注册时不要选择「移动端和桌面应用」类型，必须选「单页应用(SPA)」，否则会出现跨域、重定向不匹配的错误。
• PWA的manifest.json中不要配置限制跨域跳转的规则，确保login.microsoftonline.com域名在你的站点允许跳转的目标列表内。
• 所有令牌校验逻辑建议放在客户端完成，不要走后端代理转发登录请求，避免出现跨域和安全校验失败的问题。

内容的提问来源于stack exchange，提问作者raffa50