Mac（Xamarin）环境下Microsoft Graph API登录及回调问题排查

一、替换ADAL：改用MSAL.NET（官方推荐） #

首先要说明的是，ADAL已经被微软弃用了，**MSAL.NET（Microsoft Authentication Library）**才是当前推荐的认证库，它对Mac等桌面平台有更完善的支持，能直接避免你遇到的"not implemented"异常。

针对Xamarin.Mac的公共客户端应用，你可以这样快速实现认证：

using Microsoft.Identity.Client;

var clientId = "你的客户端ID";
var scopes = new[] { "User.ReadBasic.All", "User.Read" };

// 初始化公共客户端应用
var pca = PublicClientApplicationBuilder
    .Create(clientId)
    .WithRedirectUri($"msal{clientId}://auth") // 和你后续配置的URL Scheme保持一致
    .Build();

// 触发交互式登录并获取令牌
var result = await pca.AcquireTokenInteractive(scopes)
    .WithParentActivityOrWindow(你的主窗口句柄) // 指定登录窗口的父窗口，避免弹窗被遮挡
    .ExecuteAsync();

var accessToken = result.AccessToken;

MSAL会自动处理浏览器/内嵌WebView的登录流程、回调URL的捕获以及令牌的管理，比你手动实现WebView流程要可靠得多。

二、手动WebView流程中OpenUrls未触发的问题 #

你遇到的OpenUrls方法没被调用，核心原因是Xamarin.Mac中处理URL Scheme的正确方法签名不是这个。在AppDelegate.cs中，你需要重写以下方法：

public override bool OpenUrl(NSApplication application, NSUrl url, string sourceApplication, NSObject annotation)
{
    Console.WriteLine("收到回调URL: " + url.AbsoluteString);
    // 在这里解析URL中的授权码，再向微软令牌端点请求访问令牌
    return base.OpenUrl(application, url, sourceApplication, annotation);
}

另外再确认info.plist的URL Scheme配置是否正确：

• 打开info.plist，添加CFBundleURLTypes数组
• 在数组内新增一个字典，添加CFBundleURLSchemes子数组，将值设为msal[你的客户端ID]（注意和授权请求中的redirect_uri完全匹配，大小写也要一致）

三、切换到隐式授权保障密钥安全 #

隐式授权（Implicit Grant）专为无法安全存储客户端密钥的公共客户端（比如桌面应用）设计，它会直接在授权响应中返回令牌，跳过授权码交换步骤，从根源上避免了密钥泄露风险。

要切换到隐式授权，你需要修改授权请求的参数：

1. 将response_type从code改为token（仅需访问令牌）或id_token token（同时获取ID令牌和访问令牌）
2. 无需再执行授权码交换流程，直接从回调URL的哈希参数中提取access_token

修改后的授权URL示例：

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?state=ltxzlgtghhxgpwuh&client_id=[你的客户端ID]&response_type=token&scope=User.ReadBasic.All%20User.Read&redirect_uri=msal[你的客户端ID]://auth

登录完成后，回调URL会类似这个格式：

msal[你的客户端ID]://auth#access_token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6...&token_type=Bearer&expires_in=3600&scope=User.ReadBasic.All%20User.Read&state=ltxzlgtghhxgpwuh

你只需要解析URL的哈希部分，提取出access_token即可使用。

不过还是更推荐使用MSAL.NET，它已经封装了隐式授权的完整流程，不需要你手动处理URL解析和令牌验证，安全性和易用性都更高。

内容的提问来源于stack exchange，提问作者Ziba Leah