.NET Framework4.6 Winforms对接.NET6 API：Azure AD OIDC无登录取令牌咨询

推荐的授权流程 #

采用集成Windows身份验证（IWA）流程，这是Azure AD专为域内已登录用户设计的OAuth 2.0授权方式，完全匹配你的需求：

• 无需新增登录表单，直接复用用户当前Windows会话的LDAP域凭据
• 适配.NET Framework 4.6的Winforms应用，通过MSAL.NET库即可快速实现
• 属于Azure AD官方支持的标准流程，安全性合规有保障

基于用户ID获取访问令牌的实现 #

不能仅靠用户ID直接获取令牌，必须结合当前Windows上下文完成身份验证，但可以通过指定用户ID精准获取目标用户的令牌，具体步骤如下：

1. 引入适配.NET Framework 4.6的MSAL.NET包（Microsoft.Identity.Client）
2. 初始化公共客户端应用，配置Azure AD租户ID和客户端ID
3. 调用AcquireTokenByIntegratedWindowsAuth方法，传入目标用户的UPN格式ID（如user@yourdomain.com）和API访问范围，即可获取对应令牌

代码示例 #

using Microsoft.Identity.Client;

// 初始化Azure AD公共客户端应用
var publicClient = PublicClientApplicationBuilder
    .Create("你的Azure AD客户端ID")
    .WithAuthority("https://login.microsoftonline.com/你的租户ID")
    .Build();

// 定义目标API的访问范围
var apiScopes = new[] { "api://你的API应用ID/access_as_user" };

// 获取指定用户的访问令牌
var tokenResult = await publicClient.AcquireTokenByIntegratedWindowsAuth(apiScopes)
    .WithUsername("目标用户的UPN（如user@company.com）")
    .ExecuteAsync();

string accessToken = tokenResult.AccessToken;

关键注意事项 #

• 确保Azure AD应用注册中已启用"允许公共客户端流"（在"身份验证"设置页配置）
• 目标用户必须是已同步到Azure AD的域用户（与现有LDAP用户身份一致）
• 需提前为客户端应用分配目标API的访问权限，或确保用户已完成权限同意

内容的提问来源于stack exchange，提问作者Raja Kondla