MSAL-Browser对接Duende Identity Server：acquireTokenSilent每次刷新令牌问题

可能的原因1：请求的作用域不包含API资源范围 #

你的scopes配置为["openid", "profile", "offline_access"]，这些均为OIDC身份相关的标准范围，并非针对具体API的访问范围。MSAL的访问令牌缓存逻辑与目标API资源绑定，当仅请求身份范围时，MSAL可能不会将其视为可复用的API访问令牌，或在缓存校验时判定不匹配，导致每次触发刷新请求。

解决方案 #

添加目标API的具体作用域，例如假设你的API资源标识符为https://my.api.com，则修改scopes：

this.scopes = ["openid", "profile", "offline_access", "https://my.api.com/api.read"];

可能的原因2：Authority配置不一致 #

你的MSAL配置中，authority为"https://my.identity.provider"，但knownAuthorities是["https://identity.relatable.local:44119"]，两者域名/端口不匹配。MSAL会校验令牌颁发者（iss）是否在knownAuthorities列表中，若不匹配则认为令牌来自未知权威，会将其从缓存中移除，进而触发新的令牌请求。

解决方案 #

确保authority和knownAuthorities完全一致：

auth: {
  clientId: context.clientId,
  authority: "https://identity.relatable.local:44119", 
  knownAuthorities: ["https://identity.relatable.local:44119"],
  protocolMode: "OIDC",
  redirectUri: this.redirectUri
}

可能的原因3：令牌受众（aud）不匹配 #

若访问令牌的受众（aud声明）既不是你的客户端ID，也不是目标API的资源标识符，MSAL在缓存校验时会判定令牌不符合请求要求，放弃使用缓存令牌。你可以在浏览器Application存储的localStorage中找到msal.<clientId>.tokenCache，查看访问令牌的aud值是否与请求资源匹配。

解决方案 #

• 在Duende Identity Server中为客户端配置正确的API资源权限
• 在tokenRequest中明确指定resource参数（若适用），或确保scopes包含目标API的资源前缀

可能的原因4：MSAL版本兼容性问题 #

部分旧版本MSAL Browser与非Azure AD的IDP（如Duende Identity Server）集成时，缓存逻辑存在bug，会错误移除有效令牌。

解决方案 #

升级MSAL Browser至最新稳定版本：

npm update @azure/msal-browser

额外调试建议 #

• 开启MSAL详细日志，查看缓存校验阶段的具体逻辑：

  const pca = new PublicClientApplication({
    auth: { /* 你的配置 */ },
    system: {
      loggerOptions: {
        loggerCallback: (level, message, containsPii) => {
          console.log(message);
        },
        logLevel: Msal.LogLevel.Verbose
      }
    }
  });
  

• 检查浏览器localStorage中的MSAL缓存，确认令牌的expiresOn、scopes、iss等属性是否符合预期

内容的提问来源于stack exchange，提问作者Tom Troughton