Node.js/Express Azure OIDC配置未返回请求的refresh token问题

以下是你可能遗漏的关键配置项，按优先级排查：

• 确认使用授权码授权流程
  隐式流（response_type=id_token或id_token token）不会返回refresh token，必须使用授权码流（response_type=code）。检查你的认证请求参数，确保response_type设置为code，后续再通过授权码向令牌端点换取access token和refresh token。

• 检查Azure AD应用注册的客户端类型配置

  • 如果是桌面/移动类公共客户端：在应用注册的「认证」→「高级设置」中，将「允许公共客户端流」设为「是」。Azure AD默认会限制公共客户端的refresh token发放，开启此配置后才能正常获取。
  • 如果是Web类机密客户端：确保使用的是授权码流而非隐式流，机密客户端通过授权码流默认支持获取refresh token，但需确认没有在应用配置中禁用相关权限。

• 验证offline_access权限的授予状态
  虽然你在请求中添加了offline_access scope，但需确认该权限已被正确授予：

  1. 进入Azure AD应用注册的「API权限」页面，确认已添加offline_access（属于Microsoft Graph的委托权限）；
  2. 检查权限状态：如果是租户内应用，需点击「授予管理员同意」；如果是多租户应用，用户在登录时需同意该权限（需确保应用注册中设置了允许用户同意）。

• 检查令牌请求的参数完整性
  在换取令牌的POST请求中，需确保：

  • grant_type设置为authorization_code；
  • 携带正确的code（授权码）、redirect_uri、client_id（以及机密客户端的client_secret）；
  • 没有额外添加会干扰refresh token返回的参数（比如prompt=none在某些场景下可能影响，但主要还是流程和权限配置问题）。

内容的提问来源于stack exchange，提问作者TheIcemanCometh