Поток сброса пароля MSAL B2C вызывает ошибку недопустимого предоставления

Политики и токены, извлеченные в их контексте, связаны. Могут быть разные разрешения и потоки, связанные с разными политиками, поэтому с точки зрения MSAL / приложений они также могут быть разными бэкэндами.

Хорошо, лучше убедиться, что при использовании getTokenSilently вы также должны использовать токены, соответствующие политике, с которой был получен токен.

Во всех примерах MSAL, которые я нашел в Интернете, это не было проблемой, потому что они делают это непосредственно в ViewController и сохраняют ссылку на объект application. Вместо этого я каждый раз настраиваю его так:

let authority = try MSALB2CAuthority(url: authURL)
let config = MSALPublicClientApplicationConfig(clientId: AuthCredential.clientID.description,
                                            redirectUri: AuthCredential.redirectUri.description,
                                              authority: authority)
config.knownAuthorities = [authority]
            
let application = try MSALPublicClientApplication(configuration: config)

с авторитетом, который мне нужен для конкретной задачи. Итак, в моем случае, когда пользователю требовался сброс пароля, я бы сменил полномочия, перешел в веб-просмотр и сбросил пароль, получил обратно токены, они автоматически помещались в MSAL. Теперь, когда я звоню getTokenSilently, я бы использовал политику SignInSignUp, но токены в MSAL будут связаны с политикой сброса пароля = ›недействительный грант

То, что я сделал, чтобы исправить это, поскольку я все еще считаю, что шаблон создания экземпляра MSALPublicClientApplication только тогда, когда он вам нужен, намного лучше, поскольку он связан с различными вызовами API в разных местах приложения, а не только в одном ViewController, заключался в том, чтобы сделать расширение на MSALPublicClientApplication с помощью метода класса приложения, который берет политику из последнего успешного getTokenSilently или getTokenInteractively и всегда использует это для создания объекта приложения.

class func application() -> MSALPublicClientApplication? {
    do {
        let authURLString = UserDefaults.getMSALPolicyKey() ?? AuthCredential.signInAuthority.description
        let authURL = URL(string: authURLString)!
        let authority = try MSALB2CAuthority(url: authURL)
        
        let config = MSALPublicClientApplicationConfig(clientId: AuthCredential.clientID.description,
                                                       redirectUri: AuthCredential.redirectUri.description,
                                                       authority: authority)
        config.knownAuthorities = [authority]
        
        let application = try MSALPublicClientApplication(configuration: config)
        
        return application
        
    } catch {
        // catch and log error
        return nil
    }
}

и политика должна быть сохранена так:

application.acquireTokenSilent(with: silentParameters) { (result, error) in
    guard let result = result, let key = result.account.identifier, error == nil else {
    // Error handling
    UserDefaults.clearMSALPolicies() // clear policies so we default to standard policy 
        }
        
        completion(.failure(nsError))
    }
    // get policy directly from result
    UserDefaults.setMSALPolicyKey(key: result.authority.url.absoluteString)
    completion(.success(result.accessToken))
}

Это сокращает список потока сброса пароля в вопросе до 7 шагов, и пользователь входит в систему.

На Android это действительно не сработало, у нас просто были довольно долгоживущие токены, поэтому ошибка не появлялась там гораздо позже, когда срок действия токена с политикой сброса пароля истек, и клиент попытался обновить его с помощью политики SignInSignOut = › недействительный грант.