Azure中SPA与Web API是否需要多应用注册及单注册可行性咨询

嗨，我来帮你理清这个问题～

首先，咱们先说说常规的最佳实践：通常是建议给SPA和Web API分别创建独立的Azure应用注册的，原因主要有这几点：

• 安全边界更清晰：SPA属于客户端应用，Web API是资源服务器，分开注册能把两者的权限、凭证、配置隔离开，降低因一方配置失误影响另一方的风险。比如SPA的重定向URI、授权流程（一般用PKCE）和API的范围（Scopes）、验证策略可以独立管理。
• 权限管控更精准：API可以单独定义自己的暴露范围，SPA作为独立客户端去请求这些范围，后续如果要给其他客户端（比如移动端APP）授权访问API，直接新增客户端注册就行，不用动SPA的配置。
• 排查问题更方便：分开注册后，日志、令牌受众（aud）都是独立的，出问题时更容易定位是客户端还是API的配置问题。

那回到你的核心疑问：能不能只用单个应用注册实现？ 技术上是可行的，但我非常不推荐在生产环境这么做，具体怎么操作和弊端如下：

• 实现方式：在同一个应用注册里，先添加SPA的平台配置（设置正确的重定向URI、启用PKCE流程），然后在「暴露API」选项卡下定义API的范围，最后把这个应用注册本身作为客户端，授予它访问自己定义的API范围的权限。
• 潜在弊端：
  • 安全风险提升：SPA的客户端信息和API的配置混在一起，一旦SPA的配置泄露（虽然SPA本身无客户端密钥，但配置泄露也可能带来风险），可能直接影响到API的安全。
  • 扩展性差：后续如果要新增其他客户端或者修改API的权限策略，会和SPA的配置相互干扰，管理起来越来越乱。
  • 令牌验证不严谨：SPA获取的令牌受众（aud）是应用注册的ID，API验证时也是这个ID，没法清晰区分是针对客户端还是资源的令牌，容易出现逻辑混淆。

总结一下：如果是测试环境或者极小的Demo项目，单应用注册能临时凑合用，但生产环境和长期维护的项目，强烈建议遵循最佳实践，给SPA和Web API分别创建独立的应用注册。

备注：内容来源于stack exchange，提问作者Bhavya Mathur