如何解决Wiki.js与Azure Active Directory身份验证集成失败问题？

一、核心参数填写规则 #

• Client ID：直接复制Azure AD应用注册页面的「应用程序(客户端)ID」即可。
• Tenant ID：复制Azure AD应用注册页面的「目录(租户)ID」；如果需要允许所有Azure AD组织账户登录，填common（内部使用建议用具体租户ID）。
• 作用域：必须包含 openid、profile、User.Read，填写格式为 openid profile User.Read——这三个是Azure AD OAuth2认证的基础，缺一个都可能导致流程失败。

二、Azure AD 必做关键配置 #

• 重定向URI：在Azure AD应用注册的「身份验证」页面，添加Wiki.js的回调地址，格式为 https://你的Wiki域名/login/oauth2/callback/azuread（本地测试用 http://localhost:3000/login/oauth2/callback/azuread）。必须和Wiki.js里填写的回调URL完全一致，包括http/https、端口、路径，大小写也要匹配。
• 权限授予：在「API权限」页面，除了添加User.Read委托权限，一定要点击「授予管理员同意」——否则普通用户登录时会触发权限不足的错误。
• 令牌声明：在「令牌配置」页面，添加可选声明，勾选email和upn，这样Wiki.js能获取到用户的邮箱信息，用于匹配或自动创建本地账户。
• 权限类型：User.Read必须选委托权限，不要选应用程序权限，因为这是用户发起的身份验证流程。

三、Wiki.js 侧配置要点 #

• 进入Wiki后台「认证」→「OAuth2」，选择「Azure Active Directory」提供商：
  • 客户端ID：粘贴Azure的Client ID
  • 客户端密钥：粘贴Azure AD「证书和密码」里创建的客户端密码（创建后立刻复制，之后无法查看）
  • 租户ID：粘贴Azure的Tenant ID或填common
  • 作用域：输入 openid profile User.Read
  • 回调URL：填写和Azure端完全一致的地址
• 若需要让Azure AD用户自动创建Wiki账户，开启「用户自动注册」选项；如果手动创建账户，确保Wiki内用户的邮箱和Azure AD用户邮箱完全匹配。

四、快速排错步骤 #

1. 验证端点正确性：Azure AD的授权和令牌端点是自动生成的，可手动核对：
   • 授权端点：https://login.microsoftonline.com/{TenantID}/oauth2/v2.0/authorize
   • 令牌端点：https://login.microsoftonline.com/{TenantID}/oauth2/v2.0/token
     确保Wiki.js内的端点和上述一致（若手动配置的话）。
2. 查看调试日志：修改Wiki.js的config.yml，设置logLevel: debug，然后查看日志文件——里面会详细记录OAuth2流程的错误，比如重定向不匹配、令牌获取失败、权限缺失等。
3. 测试令牌获取：用curl或Postman调用令牌端点，尝试获取令牌，排查是Azure端还是Wiki.js端的问题。
4. 检查客户端密钥：确认密钥未过期，且Wiki.js里填写的是完整的密钥值，不是密钥ID。

内容的提问来源于stack exchange，提问作者Jason Sohan