Azure AD返回interaction_required错误排查求助（PHP OAuth2场景）

问题背景 #

我使用thephpleague/oauth2-client库对接Azure AD，在自家租户环境中完全正常：能正常跳转至回调函数、获取access_token并存入$_SESSION['access_token']，还能解析出邮箱等用户信息。但将相同代码和应用配置部署到客户的Azure AD租户时，出现interaction_required错误。

目前仅通过$e->getMessage()获取到错误标识，想请教：

1. 如何获取更详细的错误信息，排查客户租户中缺失的配置？
2. 使用print_r($e)能否获取完整错误内容？

现有代码 #

Provider对象代码 #

$provider = new League\OAuth2\Client\Provider\GenericProvider([
    'clientId'                => $client_id,
    'clientSecret'            => $secret_value,
    'redirectUri'             => $callback_url,
    'urlAuthorize'            => "https://login.microsoftonline.com/" . $tenant_id . "/oauth2/authorize",
    'urlAccessToken'          => "https://login.microsoftonline.com/" . $tenant_id . "/oauth2/token",
    'urlResourceOwnerDetails' => '',
]);

回调函数代码 #

public function callback() {

    $secret_value="XXX";
    $client_id="XXX";
    $tenant_id="XXX";

    $provider = new League\OAuth2\Client\Provider\GenericProvider([
        'clientId'                => $client_id,
        'clientSecret'            => $secret_value,
        'redirectUri'             => $callback_url,
        'urlAuthorize'            => "https://login.microsoftonline.com/" . $tenant_id . "/oauth2/authorize",
        'urlAccessToken'          => "https://login.microsoftonline.com/" . $tenant_id . "/oauth2/token",
        'urlResourceOwnerDetails' => '',
    ]);

    if(isset($_GET['code'])) {
        if (!isset($_GET['state']) || $_GET['state'] !== $_SESSION['oauth2state']) {
            $this->logging($_GET['code'],"Invalid state parameter");
            die('Invalid state parameter');
        }

        try {
            // Exchange authorization code for access token
            $accessToken = $provider->getAccessToken('authorization_code', [
                'code' => $_GET['code'],
            ]);

            $_SESSION['access_token'] = $accessToken;
            header('Location: https://example.com/');
            exit;
        } catch (League\OAuth2\Client\Provider\Exception\IdentityProviderException $e) {
            echo 'Authentication error: ' . $e->getMessage();
            exit;
        }
    } elseif (isset($_GET['error'])) {
        die('Error: ' . $_GET['error']);
    }

}

解决方案与排查步骤 #

1. 获取完整错误信息的方法 #

打印完整异常对象

IdentityProviderException包含了Azure AD返回的完整错误数据，使用print_r($e)或var_dump($e)可以直接输出所有细节，也可以通过类的方法单独提取关键信息：

catch (League\OAuth2\Client\Provider\Exception\IdentityProviderException $e) {
    // 输出完整异常内容
    print_r($e);
    // 或者单独提取错误代码和响应体
    echo '错误代码：' . $e->getCode() . '<br>';
    echo '详细响应：' . json_encode($e->getResponseBody()) . '<br>';
    exit;
}

其中getResponseBody()会返回Azure AD的原始响应，通常包含error_description字段，里面会明确说明错误原因（比如用户需完成MFA、应用权限未被同意等）。

完善回调的错误参数处理

当前代码仅输出error参数，Azure AD会把详细说明放在error_description中，需要解码后输出：

elseif (isset($_GET['error'])) {
    $errorInfo = $_GET['error'];
    if (isset($_GET['error_description'])) {
        $errorInfo .= '：' . urldecode($_GET['error_description']);
    }
    die('错误：' . $errorInfo);
}

2. 常见interaction_required错误的排查方向 #

• 多因素认证（MFA）要求：客户租户可能强制启用了MFA，而你的授权请求未触发MFA流程，或应用配置不支持MFA验证。
• 应用权限未被同意：客户租户中，应用请求的权限（如用户读取权限）未得到管理员同意，或权限范围不足。
• 用户未被分配应用访问权：客户Azure AD中，应用可能设置了“需分配用户/组才能访问”，但测试用户不在分配范围内。
• 端点版本问题：当前使用的是旧版OAuth2端点，建议切换到Microsoft Graph v2端点（https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/authorize和https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token），新版端点的错误信息更完善，支持更多特性。

3. 基础配置检查 #

• 确认客户租户中应用注册的重定向URI和代码中的redirectUri完全一致（包括协议、域名、路径）。
• 检查客户应用的客户端密钥是否有效，未过期或被吊销。
• 确认应用启用了授权码流（在Azure AD应用注册的“认证”页面中配置）。

内容的提问来源于stack exchange，提问作者user25944704