ASP.NET MVC与Angular共享Azure AD登录，避免重复登录方案咨询

当然可行！核心思路是利用Azure AD基于浏览器Cookie的会话机制，只要两端配置对齐，就能让Angular复用MVC端已建立的登录会话，避免二次登录。下面是具体的实现步骤和调整建议：

1. 确保两端使用同一个Azure AD应用注册 #

这是关键前提：

• 你的ASP.NET MVC和Angular必须指向Azure AD中同一个应用注册（相同的tenant和clientId）。
• 在Azure AD应用注册的Redirect URIs里，同时添加MVC的回调地址（比如https://your-domain.com/signin-oidc）和Angular的回调地址（比如https://your-domain.com/oauth-callback）。如果是同域部署，这一步会更顺畅。

2. 调整Angular的ADAL初始化逻辑 #

不要直接调用login()，而是先尝试静默获取已存在的会话令牌。修改你的认证模块代码如下：

import { NgModule, APP_INITIALIZER } from '@angular/core';
import { CommonModule } from '@angular/common';
import { AuthenticationGuard } from '../services/authenticated.guard';
import { Adal5Service, Adal5HTTPService } from 'adal-angular5';
import { HttpClient, HttpClientModule } from '@angular/common/http';
import { OAuthCallbackHandler } from '../oauth-callback/oauth-callback.guard';

// 应用启动时初始化ADAL并检查会话
export function initializeAdalSession(adalService: Adal5Service) {
  return () => {
    // 初始化ADAL配置，确保和MVC端一致
    adalService.init({
      tenant: 'your-tenant-id',
      clientId: 'your-shared-client-id',
      redirectUri: window.location.origin + '/oauth-callback', // 要和Azure AD注册的一致
      postLogoutRedirectUri: window.location.origin,
      popUp: false // 建议用redirect模式，更利于会话共享
    });

    // 处理登录回调（比如从Azure AD跳转回来的逻辑）
    adalService.handleWindowCallback();

    // 如果用户未认证，尝试静默获取令牌（复用MVC的会话）
    if (!adalService.userInfo.authenticated) {
      return adalService.acquireTokenSilent('your-shared-client-id')
        .catch(err => {
          // 静默失败时再考虑触发登录（比如会话过期），否则无需主动调用login()
          // adalService.login();
          return Promise.resolve();
        });
    }
    return Promise.resolve();
  };
}

@NgModule({
  declarations: [],
  imports: [
    CommonModule,
    HttpClientModule
  ],
  providers: [
    AuthenticationGuard,
    Adal5Service,
    {
      provide: Adal5HTTPService,
      useFactory: Adal5HTTPService.factory,
      deps: [HttpClient, Adal5Service]
    },
    OAuthCallbackHandler,
    // 注册APP初始化钩子，确保启动时就检查会话
    {
      provide: APP_INITIALIZER,
      useFactory: initializeAdalSession,
      deps: [Adal5Service],
      multi: true
    }
  ],
})
export class AuthenticationModule { }

3. 验证MVC端的认证配置 #

确保MVC端的Azure AD认证中间件配置和Angular一致：

• 比如ASP.NET MVC（OWIN）中，UseOpenIdConnectAuthentication的ClientId、Tenant要和Angular的ADAL配置完全相同。
• 确认MVC端的认证是通过Azure AD的标准流程（OpenID Connect）建立的，这样才会在浏览器中留下有效的Azure AD会话Cookie。

4. 关键注意事项 #

• 同域部署优先：如果Angular和MVC是同域名（比如MVC在根路径，Angular在/angular子路径），浏览器会自动共享Cookie，静默获取令牌的成功率最高。
• 第三方Cookie限制：如果是跨域部署，部分浏览器会阻止第三方Cookie，导致静默获取失败。这种情况下可以：
  • 调整Azure AD应用的Cookie设置为SameSite=None（需要HTTPS环境）；
  • 改为同域部署。
• 清除测试缓存：测试前记得清除浏览器的Cookie和缓存，避免旧的会话数据干扰结果。

内容的提问来源于stack exchange，提问作者Arin