如何在.NET MAUI中用自定义UI对接IdentityServer4实现无跳转认证？

1. 是否可在不跳转外部页面/浏览器的情况下用自定义UI完成认证？ #

可以实现，但需要结合IdentityServer4的能力和安全要求选择合适的认证流。需注意IdentityServer4属于遗留系统，对OAuth 2.1部分特性的支持有限，需在功能实现与安全合规间权衡。

2. 2026年该场景下的推荐安全方案 #

由于IdentityServer4已停止官方维护（支持截止至2022年11月），2026年优先建议迁移至Duende IdentityServer（官方继任者，持续维护并全面支持OAuth 2.1）。针对原生无跳转登录场景，推荐采用BFF（Backend for Frontend）架构搭配自定义原生UI，这是当前兼顾安全合规与用户体验的主流方案。

3. ROPC、BFF还是自定义流的选择 #

• ROPC（资源所有者密码授权）：OAuth 2.1已明确弃用该流，核心风险在于客户端直接获取用户密码，易引发泄露问题，且无法支持MFA等现代安全机制。IdentityServer4虽支持该流，但不符合现代安全标准，绝对不建议使用。
• BFF方案：优先推荐。核心逻辑是在MAUI应用与IdentityServer之间搭建轻量后端服务（BFF）：MAUI的自定义登录UI将用户名/密码发送至BFF，由BFF使用**授权码流（带PKCE）**与IdentityServer完成认证交互，再将安全令牌返回给MAUI应用。该方式既避免了客户端直接处理敏感密码，又保留了原生登录体验，完全符合OAuth 2.1安全规范。
• 自定义认证流：不建议采用。自定义流极易引入未被验证的安全漏洞，且难以兼容后续安全标准更新，即使迁移至Duende IdentityServer也会面临维护风险。

4. ROPC的现代替代方案 #

除BFF架构外，还有两种合规且支持原生UI的方案：

• Duende IdentityServer后端集成模式：若迁移至Duende IdentityServer，可通过后端服务调用其令牌端点，结合自定义认证逻辑完成流程。需确保后端服务严格遵循OAuth 2.1规范，比如启用客户端认证、加密密码传输路径等。
• 嵌入式WebView适配授权码流：若不想引入BFF，可在MAUI中嵌入WebView加载IdentityServer登录页，通过自定义CSS/JS将页面样式调整为与应用一致的原生风格。该方式仍遵循授权码流+PKCE的安全标准，无需跳转外部浏览器，同时规避了ROPC的风险。需注意配置WebView的安全策略，比如禁用恶意JS注入、强制使用HTTPS等。

内容的提问来源于stack exchange，提问作者Delmo Antonio