ios - SFAuthenticationSession 如何在 Safari 中存储 session 相关的 cookie

Question

tl;博士阅读最后一段。

我正在使用 AppAuth ( https://github.com/openid/AppAuth-iOS ) 库来处理基于 OpenID 的用户身份验证，我想通过我的应用程序为其提供 SSO 体验。我的应用程序的部署目标是 iOS 11，这意味着 AppAuth 内部使用 SFAuthenticationSession。我正在使用授权流程，这意味着用户会通过 SFAuthenticationSession 看到一个基于 Web 的登录页面。当用户填写并提交凭据时，SFAuthenticationSession 调用带有 url 的完成(如果成功)，从中可以解析授权 code。使用授权 code 通过 URLSession 的 token POST 请求独立于 SFAuthenticationSession 并检索 access_token。

整个流程是成功的，包括检索access_token，但是当我离开应用程序并在 Safari 中打开服务提供商提供的用户个人资料网页时，用户没有登录。我测试了与 Google 帐户 ( https://accounts.google.com) 相同的流程和 SSO 工作正常，例如当我打开 https://mail.google.com在 Safari 中我登录了。所以我怀疑我的服务提供商做错了什么。也许他们没有给我提供正确的示波器？但在联系他们之前，我想排除我的任何错误。现在我最直接的想法是，不知何故，与 session 相关的 cookie 不会存储在 Safari 中。由此我的问题如下。

我的问题。 token POST 请求是独立于 SFAuthenticationSession(不同的用户代理)发出的，那么如果不通过 SFAuthenticationSession，任何与 session 相关的 cookie 如何存储在设备(Safari)上？有什么方法可以在代码中调试 cookie 存储？

Answer 1

根据 OAuth 2.0 标准，token endpoint不需要资源所有者身份验证，与 authorization endpoint 相反, 确实如此。 (执行授权代码交换的脚本或后台 channel 不一定能够访问用户代理中设置的 HTTP cookie，并且默认情况下，浏览器不会在跨站点 XHR 中包含凭据。使用刷新 token 时，资源所有者根本不需要交互。)您的 URLSession 不会从 Safari 或 SFAuthenticationSession 获取任何 session cookie，并且不需要。

关于您的移动 Safari 体验，文档 ASWebAuthenticationSession ，SFAuthenticationSession 后继者，状态:

All cookies, except session cookies, can be shared with Safari.

SFAuthenticationSession 似乎也是如此。 Google 必须使用持久性 cookie，因此 session 共享可以与它们一起使用。

附带说明，即使使用持久性 cookie，在 iOS 11 环境中同步 cookie jar 时似乎也存在一些不一致，例如:http://www.openradar.me/radar?id=5036182937272320