Xamarin.Forms对接ASP.NET MVC站点账号实现用户认证与授权方案咨询

认知修正 #

首先你对MSAL的使用场景存在误解：MSAL并非仅支持微软账号或第三方社交账号登录，同时公共客户端（移动端应用属于此类）在标准OAuth2/OIDC流程中不需要存储client_secret，不存在你担心的客户端密钥泄露风险。

首选方案：Azure AD B2C 对接现有用户库 + MSAL 标准流程 #

• 部署Azure AD B2C租户，配置自定义REST API校验连接器，直接对接你现有ASP.NET Individual Accounts的用户存储，无需迁移原有MSSQL中的用户数据
• 在B2C中将你的Xamarin.Forms应用注册为公共客户端，该类型客户端默认不需要配置client_secret，从根源避免密钥泄露风险
• Xamarin端集成MSAL，走带PKCE扩展的授权码流程：用户在Xamarin调用的系统浏览器页面（可自定义为和你现有站点一致的UI风格）输入账号密码，B2C后台调用你编写的校验接口核对MSSQL中的用户凭证，校验通过后返回身份令牌和访问令牌，整个流程符合微软安全规范，不需要客户端处理用户密码，完全规避ROPC流程的安全隐患

本地部署替代方案：自建合规身份服务 #

如果你不愿意使用云服务，可在现有ASP.NET Framework站点侧部署兼容OIDC规范的身份服务：

• 部署Duende IdentityServer（原IdentityServer）作为身份提供方，直接对接现有Individual Accounts的用户存储，无需改动原有账号数据
• 将Xamarin应用注册为公共客户端，同样不需要分配client_secret，使用带PKCE的授权码流程
• Xamarin端使用IdentityModel.OidcClient库对接自建身份服务即可，安全等级和上述云方案一致

临时过渡方案 #

如果短期内无法重构身份体系，需复用原有/Token接口：

• 禁止在Xamarin客户端代码中硬编码任何敏感密钥，公共客户端本身就不应该持有此类凭证
• 所有接口通信强制走HTTPS，接口侧新增速率限制、设备指纹校验、异常登录验证码等策略，降低ROPC流程的撞库、密码泄露风险
• 该方案仅作为临时过渡使用，长期仍建议迁移到标准OIDC流程

内容的提问来源于stack exchange，提问作者rsnyder