Сканер ругается на redirect URI MSAL в iOS: когда custom scheme штатна, а когда нужен Universal Link. Пошаговый разбор: зафиксировать текущий redirect URI, broker и SSO, сравнить штатную схему MSAL с поддерживаемым universal link, проверить app registration, associated domains, обработчик callback и PKCE в тестовом tenant; не помещать токены в redirect…
9. Зафиксируйте границы симптома
Исходная боль сформулирована узко: разработчик может без проверки подавить обоснованное предупреждение сканера или заменить redirect URI без согласования Entra, приложения и домена и сломать вход. Нужный ответ также ограничен конкретным намерением: как оценить security finding о custom URL scheme для MSAL iOS и понять, можно ли перейти на universal link без поломки SSO. Сначала запишите наблюдаемый симптом своими словами, время, версию затронутого компонента и один ожидаемый результат. Не переносите в заметки имена, адреса, токены, полные журналы или приватные ссылки. Свежая публичная карточка от 2026-08-26 подтверждает существование вопроса, но не доказывает его причину, массовость или популярность.
9. Проведите один обратимый контроль
Безопасная последовательность для этого случая: зафиксировать текущий redirect URI, broker и SSO, сравнить штатную схему MSAL с поддерживаемым universal link, проверить app registration, associated domains, обработчик callback и PKCE в тестовом tenant; не помещать токены в redirect или логи и остановиться до production при неясном межприложенном поведении. Меняйте один фактор за раз и перед действием сохраните исходное состояние, чтобы сравнение не смешивало несколько причин. Контроль должен повторять тот же вход, тот же маршрут и тот же ожидаемый результат. Успех фиксируется только когда целевой симптом меняется предсказуемо после одного обратимого шага. Практическая матрица именно для этой темы: матрица решения «владение redirect / broker и SSO / callback / PKCE» отделяет общий риск custom scheme от поддерживаемой конфигурации MSAL и показывает условия безопасной миграции на universal link.
9. Сверьте вывод с первичными источниками
Доказательная граница собрана из первичных материалов. Microsoft Learn задаёт штатный MSAL redirect URI msauth.[BundleID]://auth, рекомендует использовать его по умолчанию и отдельно описывает поддерживаемую конфигурацию Universal Link с HTTPS scheme, настройкой приложения и домена и вызовом handleMSALResponse. RFC 8252 (BCP 212) различает private-use URI schemes и claimed HTTPS redirects для native apps, требует внешний user-agent и PKCE для публичных native clients; это обосновывает проверку владения redirect и callback вместо автоматического подавления finding. Эти документы подтверждают только описанные в них механизмы и условия: они не позволяют автоматически назначить виновный компонент по одному совпадающему симптому. Если наблюдение расходится с документацией, вернитесь к исходному состоянию, проверьте точную версию продукта и не расширяйте изменение на другие устройства, учётные записи или окружения.
9. Остановитесь и соберите безопасный пакет
Стоп-линия наступает, если контроль не воспроизводится, появляется риск потери данных или доступа, требуется необратимый сброс либо результат зависит сразу от нескольких переменных. Для поддержки подготовьте минимальный обезличенный пакет: идентификатор сценария t14-msal-ios-custom-scheme-universal-link-boundary, версии компонентов, время проверки, ожидаемый и фактический результат, один безопасный фрагмент ошибки и перечень уже возвращённых настроек. Не прикладывайте секреты, персональные данные или полные конфигурации. Уникальная ценность такого пакета состоит в следующем: В 4771 публичном материале и 918 hourly-записях нет отдельного ответа о security finding для MSAL iOS custom scheme и условиях перехода на Universal Link; опубликованный материал о Tailscale Android решает ошибку маршрутизации OAuth, а не оценку архитектуры redirect в iOS.
Материал подготовлен самостоятельно с автоматизацией и редакционно проверен 27 августа 2026 года по обезличенному публичному сигналу и прямым первичным источникам; персональные данные и частные обстоятельства не использовались.
Источники и проверка
- learn.microsoft.com: первичный материал 1 проверено 2026-08-27
- rfc-editor.org: первичный материал 2 проверено 2026-08-27
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.