Xamarin.Android中LocalServerCodeReceiver启动浏览器抛出NotSupportedException

这个问题我之前帮人排查过——LocalServerCodeReceiver根本就不是给Xamarin.Android这类移动应用设计的，它是为桌面应用打造的，难怪会抛出NotSupportedException！

问题根源 #

LocalServerCodeReceiver.ReceiveCodeAsync的实现依赖了桌面系统的两个核心能力，这在移动平台完全行不通：

• 它用System.Diagnostics.Process直接启动系统浏览器，而Xamarin.Android的沙箱环境不支持这个API，移动平台有专门的浏览器启动机制
• 它会在本地启动小型HTTP服务器监听回调，但移动应用的沙箱限制会阻止外部浏览器访问这个本地服务器，就算浏览器能打开，回调也无法正常回到你的应用

另外你用的是Amazon Cognito作为身份提供商，LocalServerCodeReceiver默认的回调地址（比如https://www.google.com）也不符合移动应用的OAuth最佳实践，很容易被拦截或者无法跳转回应用。

正确的解决方案：用Xamarin.Essentials的WebAuthenticator #

Xamarin.Essentials专门为移动平台提供了WebAuthenticator组件，完美适配OAuth 2.0的Authorization Code Flow with PKCE流程（这是移动公共客户端的安全标准流程），完全支持Amazon Cognito这类身份提供商。

步骤1：安装依赖

先把Xamarin.Essentials NuGet包安装到你的Xamarin.Android项目中。

步骤2：配置Cognito和AndroidManifest

1. 在Amazon Cognito控制台中，把应用回调URL设置为自定义Scheme格式，比如myapp://cognitocallback
2. 在Android项目的AndroidManifest.xml中添加对应的intent-filter，让系统知道当浏览器打开这个URL时要跳转回你的应用：

<activity android:name="microsoft.maui.essentials.platform.WebAuthenticatorCallbackActivity">
    <intent-filter>
        <action android:name="android.intent.action.VIEW" />
        <category android:name="android.intent.category.DEFAULT" />
        <category android:name="android.intent.category.BROWSABLE" />
        <data android:scheme="myapp" android:host="cognitocallback" />
    </intent-filter>
</activity>

步骤3：编写认证代码

替换原来的LocalServerCodeReceiver调用，改用WebAuthenticator：

using Xamarin.Essentials;

public async Task<string> AuthenticateWithCognito()
{
    var cognitoAuthUrl = "https://XXX.auth.XXX.amazoncognito.com/login";
    var callbackUrl = "myapp://cognitocallback";

    var authResult = await WebAuthenticator.AuthenticateAsync(
        new Uri($"{cognitoAuthUrl}?response_type=code&client_id=XXX&redirect_uri={Uri.EscapeDataString(callbackUrl)}&scope=profile openid email&code_challenge_method=S256"),
        new Uri(callbackUrl));

    // 从返回结果中提取所需的令牌
    var idToken = authResult.Properties["id_token"];
    var accessToken = authResult.Properties["access_token"];

    return idToken;
}

注意：PKCE流程需要的code_challenge和code_verifier会由WebAuthenticator自动生成并处理，不需要你手动计算，这大大简化了安全流程的实现。

为什么这个方案可行？ #

• WebAuthenticator用移动平台原生方式启动浏览器（Android上用Intent），完全符合系统规范，不会抛出NotSupportedException
• 自定义Scheme的回调URL能直接跳转回你的应用，避开了沙箱限制
• 自动处理PKCE流程，符合OAuth 2.0针对公共客户端的安全要求，不需要存储客户端密钥

内容的提问来源于stack exchange，提问作者mipnw