Windows 10上Xamarin Forms UWP应用如何实现基于设备凭证的SSO

直接基于UWP系统原生的**Web Account Manager（WAM，Web账户管理器）**能力实现，这是微软官方为企业场景设计的系统级认证接口，完全匹配“复用Windows登录凭证、无弹窗静默获取token”的需求。

方案适配性说明 #

• 全程复用系统已存储的Windows登录企业凭证，应用本身不需要存储、处理任何账号密码信息，身份校验完全在系统后台完成，不会弹出密码输入框、账号选择提示
• 针对已加入Azure AD、混合AD域的企业设备，系统会自动匹配当前登录的企业租户身份，整体体验和Windows预装的企业应用（如内置Office组件、系统浏览器的企业登录态）完全一致
• 符合企业IT安全合规要求，不需要申请特殊的越权系统权限，是企业环境下被IT部门默认允许的认证实现方式

具体落地流程 #

• 权限配置：在UWP项目的Package.appxmanifest中开启两项必需能力：Enterprise Authentication（企业身份认证权限）、Private Networks (Client & Server)（企业内网网络访问权限），缺少任意一项都会直接触发权限不足的认证失败
• 跨平台适配：WAM是UWP专属的系统API，在Xamarin Forms项目中通过依赖服务（Dependency Service）定义公共认证接口，将所有认证逻辑的实现代码写在UWP平台项目中，共享业务层只接收最终返回的有效access token即可
• UWP端核心调用逻辑：
  • 遍历系统内置的工作/学校账户列表，匹配当前应用对接的企业Azure AD租户，直接绑定当前Windows登录对应的账户对象，不需要弹窗让用户手动选择账号
  • 基于绑定的账户对象发起令牌请求，指定需要访问的企业API对应的资源范围（scope），由系统在后台完成token申请、过期自动续期的全流程，应用不需要自行维护token缓存、刷新逻辑
  • 拿到系统返回的有效access token后，直接回传给共享层业务代码，携带token调用企业API拉取数据即可

避坑提示 #

• 不要使用老旧的ADAL认证库，走WAM通道的认证要适配最新的MSAL能力，系统会自动处理域加入设备的静默登录逻辑，大幅提升认证成功率
• 不要尝试通过非官方方式直接读取Windows系统凭证库的内容，这类操作不仅会被系统安全策略拦截，也不符合企业合规要求，WAM是唯一被官方支持的合规实现路径

只要设备是使用企业凭证登录、且处于企业网络环境下，应用启动后即可自动完成全流程身份校验，不需要用户做任何额外操作

内容的提问来源于stack exchange，提问作者Krishna Shinde