为什么在Azure B2C本机重定向URI中不允许HTTP / s？

Question

我只想使用Universal Links回到我的应用程序，而不必担心其他应用程序“劫持”我的应用程序URI。

既然我正在尝试将Azure B2c集成到我的本机客户端，我想知道为什么B2C要求我指定一个自定义的uri，例如myapp://作为重定向。

问题：

• 为什么在B2C上禁用HTTP / S？他们关注哪些风险或特征？
• 如果我在我的应用程序上使用非通用链接，并且恶意应用程序重用该标识符（myapp://），我需要注意哪些风险？

我正在为应用内多因素（Phonefactor？）添加标签，以防部分原因是它不受支持。 （无论如何，我不能简单地在我的原生客户端重定向回该应用程序）

Answer 1

您是正确的，这不是理想的，您可以在此处提交功能请求，以便产品团队优先考虑此版本。 https://feedback.azure.com/forums/169401-azure-active-directory/suggestions/19688731-support-azure-ad-native-app-flow-in-azure-ad-b2c

与其他本机应用程序重定向选项相比，应用程序声明的“https”方案重定向URI具有一些优势，因为操作系统可以向授权服务器保证目标应用程序的标识。出于这个原因，原生应用程序应尽可能使用它们而不是其他选项.Web平台还声称client_secret会导致安全问题，并且不鼓励使用本机应用程序。

现在，您必须使用自定义URL执行此操作。 https://docs.microsoft.com/en-us/xamarin/xamarin-forms/data-cloud/authentication/azure-ad-b2c-mobile-app