小编点评

## MSAL Configuration 的 authorization_user_agent 配置项 MSAL 的 authorization_user_agent 配置项用于指定客户端在登录时使用的浏览器名称。 * **DEFAULT**：使用系统默认浏览器访问 AAD。 * **webview**：使用 WebView 访问 AAD。 由于webview 使用嵌入式的 Web 弹出框访问 AAD，而 Default 将采用系统默认的浏览器访问 AAD。因此，使用webview 时登录可能无法成功。 参考文档中说明，webview 需要使用 AAD Application 使用 Brokered Authentication 进行授权。 **设置 authorization_user_agent：** 1. 确保设备安装了 Microsoft Authenticator 或者 Intune Company Portal。 2. 在 MSAL 配置中设置 `broker_redirect_uri_registered` 为 `true`。 3. 安装并使用分配好 license 的 AAD 用户在 Microsoft Authenticator 或 Intune 中注册设备。 4. 设置使用移动应用发送通知。 5. 在 WebView 和 broken authentication 的配置中，请确保浏览器名称添加到 MSAL 默认浏览器 safelist。

正文

问题描述

移动端集成MASL登录过程中，配置文件中配置项“authorization_user_agent”使用“DEFAULT”可以正常登录，但是改为“WEBVIEW”后就无法登陆，一直处于Loading状态。

参考的示例文档：

1. https://docs.microsoft.com/zh-cn/azure/active-directory/develop/tutorial-v2-android
2. https://docs.microsoft.com/zh-cn/azure/active-directory/develop/msal-configuration?source=recommendations

问题解答

按照 MSAL Configuration 文档对 authorization_user_agent 的描述, default和webview的区别是webview使用嵌入式的 Web 弹出框访问AAD. Default将采用系统默认的浏览器访问AAD。

 

如果使用 BROWSER 和DEFAULT 都没有问题，那么就是因为使用WEBVIEW，需要 AAD Application使用 Brokered Authentication。 详细说明见：https://docs.microsoft.com/en-us/azure/active-directory/develop/msal-android-single-sign-on#sso-through-system-browser

这需要实现：
1. 设备需要安装 Microsoft Authenticator 或者 Intune Company Portal. 并且完成设备在 Microsoft Authenticator 或者 Intune中的注册。
2. MSAL 配置中设置"broker_redirect_uri_registered": true

 

 

附录：

1）安装Company Portal App，并且使用分配好license的AAD用户enroll android设备到AAD. https://docs.microsoft.com/en-us/mem/intune/user-help/enroll-device-android-company-portal

 

2）安装 Microsoft Authenticator应用 https://support.microsoft.com/zh-cn/account-billing/%E4%B8%AD%E5%9B%BD%E5%85%AC%E6%9C%89%E4%BA%91%E4%B8%AD%E9%80%82%E7%94%A8%E4%BA%8E-android-%E7%9A%84authenticator-ebbef05c-a429-4236-8570-1bb1900fec35

 

3) 设置使用移动应用（Android）发送通知 https://docs.azure.cn/zh-cn/active-directory/authentication/howto-mfa-mfasettings

请注意，设置扫描QR码的时候，由于国内手机用户不能使用 Google App store的限制, 需要点击Configure app without notification。

4)  WEBVIEW和broken authentication在Android设备上的具体要求 https://docs.microsoft.com/en-us/azure/active-directory/develop/msal-android-single-sign-on#sso-through-system-browser

 

 

5) 使用的是系统默认浏览器。华为P30，华为Pad，小米手机所使用的System Browser没有包含在MSAL的缺省Browser Safelist里，无法登录访问AAD

• 添加Browser Safelist到.conf文件里：https://learn.microsoft.com/en-us/azure/active-directory/develop/msal-configuration#browser_safelist
• 最新的MSAL模块中包含的browser safelist: https://github.com/AzureAD/microsoft-authentication-library-for-android/blob/dev/msal/src/main/res/raw/msal_default_config.json

PS: 目前缺省的华为浏览器(com.huawei.browser)不在MSAL default browser safelist里。可以在Github提交问题，看能否添加华为浏览器到 MSAL default browser safelist里。

 

 

 

[END]