如何防止恶意应用冒充使用MSAL.NET的多租户Azure桌面应用？

公开客户端（运行在用户设备侧的桌面、移动端应用）的client ID本身在设计上就属于公开信息，无法完全避免被提取，因此不存在100%杜绝恶意应用冒充的方案，但可以通过多层防护机制大幅提高冒充成本，控制风险。

核心防护手段 #

• 严格配置重定向URI校验。在Azure应用注册界面，不要使用通配符重定向地址，桌面端专属的重定向地址可以使用微软官方推荐的https://login.microsoftonline.com/common/oauth2/nativeclient，或者自定义仅你的应用会监听的私有URI Scheme（比如com.yourcompany.yourapp://auth）。微软身份平台在授权回调时会严格校验回调地址和你注册的是否一致，恶意应用就算持有你的client ID，也无法拿到授权返回的授权码，自然无法获取访问令牌。
• 启用MSAL客户端证明机制。MSAL.NET支持桌面端的硬件级客户端证明能力，可以基于Windows TPM模块生成应用身份凭证，身份平台侧会验证该凭证是否和你注册的应用特征匹配，无对应硬件凭证的恶意应用无法通过校验。
• 后端服务增加二次校验逻辑。如果你的应用存在自研后端，不要仅验证访问令牌的aud（受众）字段是否为你的client ID，额外校验令牌中的azpacr声明：公开客户端申请的令牌该值固定为0，其他值的请求直接拒绝；同时可以要求客户端上传应用签名哈希、设备指纹等信息，和你预设的合法应用特征做比对，拦截异常请求。
• 提高程序集逆向成本。给桌面应用做代码混淆、加壳、反调试处理，提高恶意开发者提取静态信息、逆向业务逻辑的门槛，过滤掉无针对性的批量黑产攻击。
• 配置Azure AD条件访问策略。在Azure门户配置条件访问规则，仅允许合规设备、可信IP范围内的请求通过你的应用注册完成授权，进一步缩小攻击面。

防护可行性结论 #

纯桌面环境下不存在能100%杜绝冒充的方案，因为所有运行在用户侧的代码都存在被逆向、篡改的可能，但以上多层防护叠加后，恶意应用冒充的成本会远高于攻击收益，绝大多数业务场景下都可以满足安全要求。

内容的提问来源于stack exchange，提问作者John