移动端嵌入WordPress页面：实现Azure AD同一认证免二次登录

嘿，这个需求其实就是典型的Azure AD跨应用单点登录（SSO）场景，核心是让移动端的认证信息能直接被嵌入的WordPress站点认可，不用再跳登录页。我给你梳理一套可行的实现方案：

1. 先把Azure AD的基础配置对齐 #

首先得确保你的移动端应用和WordPress站点的Azure AD注册是“一伙的”：

• 两者必须在同一个Azure AD租户下注册应用
• 移动端应用需要申请WordPress应用的API权限（比如给WordPress注册的应用暴露一个专属的scope，比如api://{wordpress-client-id}/access_as_user）
• 移动端获取令牌时，要把WordPress应用的client_id指定为受众（aud参数），或者包含刚才定义的专属scope，这样令牌才会被WordPress认可

2. 移动端把令牌传递给嵌入的WordPress页面 #

当你用WebView加载WordPress页面时，得把移动端已经持有的Azure AD访问令牌（access token）传过去，推荐两种安全的方式：

• 自定义HTTP请求头：如果你的WebView支持设置请求头，就加一个Authorization: Bearer <你的访问令牌>，这种方式比URL参数安全得多
• URL参数（仅限HTTPS环境）：如果没法自定义请求头，就拼在URL后面：https://your-wordpress-site.com/blog?token=<你的访问令牌>，但一定要确保站点是HTTPS，而且令牌有效期别太长

3. WordPress端做令牌验证和自动登录 #

这一步是关键，你需要让WordPress能识别并验证移动端传过来的Azure AD令牌：

手动实现验证逻辑（适合有开发能力的情况） #

• 先从请求头或者URL参数里提取令牌
• 去Azure AD的开放ID配置端点（https://login.microsoftonline.com/{你的租户ID}/v2.0/.well-known/openid-configuration）获取公钥和验证规则
• 验证令牌的签名、有效期、受众（aud必须和WordPress应用的client_id一致）、发行者（iss必须是你的Azure AD租户地址）
• 验证通过后，根据令牌里的email或者oid（用户唯一ID），自动创建或登录对应的WordPress用户（可以用WordPress的wp_signon()函数实现自动登录）

用插件简化开发 #

如果不想自己写代码，可以找支持Azure AD SSO的WordPress插件，然后修改插件的认证流程：

• 让插件优先检查请求中的令牌，而不是直接跳转到Azure AD登录页
• 插件验证令牌通过后，直接完成用户登录，不用再走OAuth跳转流程

4. 处理令牌过期的情况 #

• 移动端要监听令牌的过期时间，在快过期时自动调用Azure AD的刷新令牌接口获取新令牌
• 如果WordPress验证时发现令牌过期，可以返回一个特定的状态码（比如401），移动端收到后刷新令牌再重新加载页面

5. 安全细节不能忘 #

• 全程必须用HTTPS，防止令牌在传输过程中被窃取
• 令牌的有效期设置短一点（比如1小时），减少泄露后的风险
• 验证令牌时一定要严格检查所有字段，尤其是aud和iss，别让其他应用的令牌混进来
• 移动端WebView要禁用不必要的权限，比如禁止JavaScript访问本地存储，或者限制跨域请求

内容的提问来源于stack exchange，提问作者shiva kumar