使用MSAL Angular的loginRedirect()时，能否在获取令牌前执行检查？

要实现AD登录成功后先执行数据库检查，通过再获取令牌的流程，核心是手动控制MSAL的账户激活和令牌获取时机，不要让MSAL自动完成这些操作。以下是调整后的实现方案：

核心流程调整 #

1. 用户触发登录重定向后，完成AD认证返回应用
2. 通过handleRedirectPromise获取登录账户信息，但不立即激活账户或请求令牌
3. 调用自定义数据库检查接口，验证用户是否符合访问条件
4. 检查通过：激活账户、手动获取令牌，允许路由访问
5. 检查不通过：调用MSAL登出接口清理会话，拒绝访问

修改后的AuthGuard代码 #

import { CanActivateFn, inject } from '@angular/router';
import { HttpClient } from '@angular/common/http';
import { AuthService } from './auth.service'; // 你的AuthService

export const AuthGuard: CanActivateFn = async (route, state) => {
  const authService = inject(AuthService);
  const httpClient = inject(HttpClient);
  await authService.getMSALInstance().initialize();
  
  const redirectResponse = await authService.getMSALInstance().handleRedirectPromise();
  
  // 处理刚从AD登录返回的情况
  if (redirectResponse && redirectResponse.account) {
    const userInfo = {
      email: redirectResponse.account.username,
      userId: redirectResponse.account.idTokenClaims?.oid // 从ID Token中取用户唯一标识
    };

    try {
      // 执行数据库权限检查
      const isAllowed = await checkUserPermission(userInfo, httpClient);
      
      if (isAllowed) {
        // 检查通过，激活账户并按需获取令牌
        authService.getMSALInstance().setActiveAccount(redirectResponse.account);
        // 提前获取API访问令牌（根据业务需求选择是否需要）
        await authService.getMSALInstance().acquireTokenSilent({
          account: redirectResponse.account,
          scopes: ['api://your-client-id/access'] // 替换为你的实际API作用域
        });
        return true;
      } else {
        // 检查不通过，清理会话并重定向到拒绝页面
        await authService.getMSALInstance().logoutRedirect({
          postLogoutRedirectUri: '/access-denied'
        });
        return false;
      }
    } catch (error) {
      console.error('权限检查接口调用失败:', error);
      await authService.getMSALInstance().logoutRedirect();
      return false;
    }
  }

  // 处理用户已登录（刷新页面）的情况
  const activeAccount = authService.getMSALInstance().getActiveAccount();
  if (activeAccount) {
    const userInfo = {
      email: activeAccount.username,
      userId: activeAccount.idTokenClaims?.oid
    };
    const isAllowed = await checkUserPermission(userInfo, httpClient);
    
    if (isAllowed) {
      return true;
    } else {
      await authService.getMSALInstance().logoutRedirect();
      return false;
    }
  }

  // 无登录会话，触发AD登录
  authService.getMSALInstance().loginRedirect();
  return false;
};

// 自定义权限检查函数：调用后端接口验证用户是否有权限
async function checkUserPermission(userInfo: { email: string; userId?: string }, httpClient: HttpClient): Promise<boolean> {
  const result = await httpClient.post<{ allowed: boolean }>('/api/user/verify-access', userInfo).toPromise();
  return result?.allowed ?? false;
}

关键注意事项 #

• 禁止自动令牌获取：通过延迟调用setActiveAccount和acquireTokenSilent，确保数据库检查在令牌获取前完成，避免令牌提前生成。
• 会话清理：检查不通过时必须调用logoutRedirect，清除MSAL本地存储的账户信息，防止用户绕过验证直接访问路由。
• 刷新页面对策：用户手动刷新页面时，MSAL会保留活跃账户，此时需要重新执行检查，确保权限验证不被绕过。
• 作用域配置：acquireTokenSilent中的scopes必须与你的API注册的作用域一致，按需添加或调整。

内容的提问来源于stack exchange，提问作者6godddd