Azure B2C配置Apple身份提供方时出现Invalid web redirect url错误

• 最核心的原因是 Apple侧接收的redirect_uri参数和你在Apple开发者后台配置的返回URL不完全匹配，Apple对redirect_uri的校验比Google、Microsoft严格得多，哪怕是末尾多了斜杠、参数不一致、域名大小写差异都会直接报错。
• 你虽然配置了Front Door自定义域名，但如果未在Azure AD B2C的「身份提供方」Apple配置项中显式指定使用自定义域名作为回调前缀，B2C仍可能生成默认的myapp.b2clogin.com格式的redirect_uri，和你填的login.myapp.net不匹配。
• 部分自定义域名场景下，B2C生成的redirect_uri会额外携带策略参数（比如p=B2C_1_signin），但你在Apple后台填的返回URL没有包含对应参数，导致校验失败。
• Apple开发者后台配置的域名需要完成所有权验证，你如果仅填了login.myapp.net但没有上传验证文件到对应域名的根路径，也会触发域名校验失败。

1. 抓包获取实际发往Apple的redirect_uri值：点击Apple登录按钮时，用浏览器开发者工具的「网络」标签，筛选appleid.apple.com的授权请求，查看请求URL中的redirect_uri参数的完整值（注意要做URL解码），这个就是Apple实际接收到的回调地址。
2. 对比你在Apple开发者后台「服务ID」对应的「返回URL」列表里的配置，必须和上面抓包拿到的redirect_uri完全一致，路径、参数、域名、大小写都不能有差异。
3. 检查Apple开发者后台的「域名」配置，确保login.myapp.net已经完成所有权验证，验证用的txt文件可以正常通过https://login.myapp.net/.well-known/apple-developer-domain-association.txt访问。
4. 如果确认redirect_uri一致还是报错，可以登录Apple开发者后台的「证书、标识符和配置文件」页面，查看对应服务ID的配置是否在24小时内已经生效，新修改的Apple配置最长可能需要24小时才能全球同步。

• 先确认B2C侧的配置：进入Azure AD B2C门户，找到你配置的Apple身份提供方，检查「回复 URL」字段，确认是https://login.myapp.net/myapp.net/oauth2/authresp，而不是默认的b2clogin.com格式。
• 如果使用的是自定义策略，需要在策略的ClaimsProvider配置中，将RedirectUri项显式设置为你自定义域名的回调地址。
• 如果你抓包拿到的redirect_uri带有策略参数，需要把带参数的完整地址也添加到Apple开发者后台的返回URL列表中。

内容的提问来源于stack exchange，提问作者ataraxia