自定义Azure App Service身份验证提供程序需与客户端同实例吗？

首先直接给你明确的结论：你的设想流程是可行的，自定义认证服务完全不需要和前端同属一个App Service实例，下面分点拆解你的疑问：

1. 认证流程是否正确？ #

这个流程契合标准OAuth2/OpenID Connect授权码流程的核心逻辑，是正确的，但需要注意几个关键配置细节才能顺利跑通：

• 你需要在前端的App Service 1中启用**身份验证（Authentication）**功能，并添加「自定义」身份提供者，配置指向App Service 2的授权端点、令牌端点等核心信息
• 必须将App Service 2的回调URI设置为前端App Service的固定回调路径：https://<your-frontend-app-name>.azurewebsites.net/.auth/login/custom/callback，这是App Service身份验证模块约定的回调地址，只有这样前端服务才能正确接收并处理认证后的令牌
• 确保App Service 2在生成令牌时，包含前端App Service所需的用户标识信息（比如sub、name等标准Claims），并且签名算法和公钥能被前端服务正确验证

2. 重定向回客户端后访问/.auth/me是否可行？ #

可行，但你需要明确两个端点的区别：

• 你应该访问前端App Service 1的/.auth/me端点，而不是App Service 2的。当认证流程完成后，前端App Service的身份验证模块会将自定义提供者颁发的令牌转换为自己的会话Cookie，此时访问/.auth/me就能获取到当前登录用户的身份信息
• App Service 2的/.auth/me只针对它自身的认证会话，和前端应用的用户状态无关，所以前端完全不需要访问这个端点

3. 自定义身份验证及令牌生成是否必须与前端客户端处于同一App Service实例？ #

完全不需要。Azure App Service的身份验证模块本身就支持集成外部身份提供者，不管这个提供者是部署在另一个App Service、虚拟机还是其他云服务上，只要符合OAuth2/OpenID Connect规范，并且配置正确的端点和密钥，就能和前端App Service完成无缝集成。

额外注意事项 #

• 令牌验证：前端App Service需要能验证自定义提供者颁发的令牌合法性，你可以在自定义提供者配置中上传公钥，或者指定JWKS端点，让前端服务自动获取验证密钥
• 跨域配置：如果前端应用在浏览器中直接调用App Service 2的接口（比如登录页接口），需要在App Service 2的CORS设置中允许前端域名的访问
• 会话管理：前端App Service的身份验证模块会自动管理用户会话，你可以通过配置会话过期时间、令牌刷新策略来优化用户体验

内容的提问来源于stack exchange，提问作者Dave C