En plus des commentaires de David ci-dessus, j’ai trouvé un sujet connexe sur le site de support développeur d’Apple qui a suscité une réponse officielle confirmant le problème :
Réponse officielle :
Bonjour aslkdjalksdjasdasd,
Ce comportement est correct : les informations utilisateur ne sont envoyées dans ASAuthorizationAppleIDCredential que lors de l’inscription initiale de l’utilisateur. Les connexions ultérieures à votre application via « Se connecter avec Apple » avec le même compte ne partagent aucune information utilisateur et ne renvoient qu’un identifiant utilisateur dans ASAuthorizationAppleIDCredential. Il est recommandé de mettre en cache de manière sécurisée l’objet ASAuthorizationAppleIDCredential initial contenant les informations utilisateur jusqu’à ce que vous puissiez valider qu’un compte a été créé avec succès sur votre serveur.
Patrick
Comme le remarque un développeur :
Alors attendez… Si, pour une raison quelconque, la première redirection depuis Apple est perdue pour l’une des nombreuses raisons très courantes, alors nous avons perdu cet utilisateur de façon permanente, car il n’existe aucun autre moyen d’obtenir ses informations. Il n’y a AUCUN autre moyen d’obtenir ces informations ?
Et un autre :
Ou si quelque chose échoue en aval, nous aurons des clients qui se plaignent et le support leur dira d’aller sur le site Apple ID pour révoquer la permission, afin qu’ils puissent s’enregistrer correctement à nouveau. Je pense que cela constituera une mauvaise expérience et découragera les gens d’utiliser ce mécanisme de connexion s’ils commencent à rencontrer ce genre de problèmes.
Donc, je ne pense pas qu’il soit possible d’utiliser cela en production en toute sécurité, malheureusement. Cela serait un cauchemar pour le support.
Je suggère de mettre ce sujet en pause jusqu’à ce qu’Apple prenne conscience du problème qu’ils ont créé : dans leur tentative d’améliorer la sécurité, il semble qu’ils aient compromis excessivement la robustesse.