在C#中无法获取Refresh Token？原因排查及解决方案咨询

问题描述 #

我的目标是通过Refresh Token管理用户的Access Token，避免用户登录一次后再次进行交互式登录。由于需要个人用户令牌，我使用了AcquireTokenInteractive方法，希望在获取Access Token的同时获取Refresh Token，但未能成功。

我的代码如下：

// var scopes = new string[] { "User.Read", "Mail.Read", "offline_access" }; // 我试过的写法
var scopes = new string[] { "https://graph.microsoft.com/.default  offline_access" };

try
{
    var app = PublicClientApplicationBuilder.Create(clientId)
        .WithRedirectUri(redirectUri)
        .WithTenantId(tenantId)
        .Build();

    var authResult = app.AcquireTokenInteractive(scopes)
                    .ExecuteAsync().Result;

    var accounts = app.GetAccountsAsync("refresh_token").Result;

    token = authResult.AccessToken;
    var token2 = authResult.AuthenticationResultMetadata.TokenEndpoint;
}

此外，我已在Azure应用中添加了User.Read、offline_access、Mail.Read的API权限。

部分文档提到，出于安全原因，.NET环境中无法直接获取Refresh Token，若要使用Refresh Token是否必须使用缓存？参考相关问答后，我想咨询：无法获取Refresh Token是代码或Azure配置问题，还是受环境安全等因素的本质限制？

核心原因与解决方案 #

1. 本质限制：MSAL.NET不直接暴露Refresh Token #

MSAL.NET出于安全设计，不会在AuthenticationResult中直接返回Refresh Token，而是自动将其存储在内部令牌缓存中，开发者无需手动处理Refresh Token的获取和存储。这是框架层面的安全限制，防止Refresh Token因不当操作泄露。

2. 代码中的错误点 #

• Scope格式错误：当前scopes数组里的"https://graph.microsoft.com/.default offline_access"是单个字符串，包含两个scope，需拆分为独立元素：new string[] { "https://graph.microsoft.com/.default", "offline_access" }。另外，如果你需要个人用户令牌，更适合使用具体委托权限（如User.Read、Mail.Read）搭配offline_access，而非.default（.default通常用于应用权限场景）。
• 错误调用GetAccountsAsync：GetAccountsAsync不需要传入"refresh_token"参数，正确用法是无参调用app.GetAccountsAsync().Result，用于获取缓存中的用户账户。

3. 正确的免交互登录流程 #

无需手动获取Refresh Token，直接利用MSAL的令牌缓存即可实现免交互登录：

var scopes = new string[] { "User.Read", "Mail.Read", "offline_access" };

var app = PublicClientApplicationBuilder.Create(clientId)
    .WithRedirectUri(redirectUri)
    .WithTenantId(tenantId)
    .Build();

// 先尝试从缓存静默获取令牌
IAccount account = (await app.GetAccountsAsync()).FirstOrDefault();
AuthenticationResult authResult;
try
{
    authResult = await app.AcquireTokenSilent(scopes, account)
        .ExecuteAsync();
}
catch (MsalUiRequiredException)
{
    // 缓存无有效令牌时触发交互式登录
    authResult = await app.AcquireTokenInteractive(scopes)
        .ExecuteAsync();
}

// 使用获取到的Access Token
token = authResult.AccessToken;

第一次调用AcquireTokenInteractive并包含offline_access scope时，MSAL会自动将Refresh Token存入缓存；后续调用AcquireTokenSilent时，框架会自动用Refresh Token刷新Access Token，无需用户再次登录。

4. Azure配置验证 #

确保Azure AD应用已正确添加委托权限的offline_access、User.Read、Mail.Read：

• 如果是租户级应用，需完成管理员同意；
• 个人用户场景下，用户第一次登录时会收到权限同意请求，需确认同意。

内容的提问来源于stack exchange，提问作者손동진