PowerShell MSAL：解决Authority参数失效及获取Token对应Authority问题

一、让-Authority参数生效的方法 #

你当前代码在New-MsalClientApplication时指定了-TenantId，这会自动生成对应默认Authority（v2.0版本），后续Get-MsalToken传入的-Authority会被客户端应用已有的配置覆盖，导致参数无效。要让参数生效，可采用以下两种方式：

1. 创建客户端应用时直接指定Authority，不单独传TenantId #

修改客户端应用创建代码，直接传入自定义的Authority：

$MsalClientApplication = New-MsalClientApplication -ClientId $appID -ClientCertificate $ClientCertificate -Authority $authority;

此时客户端应用会直接使用你指定的Authority，后续调用Get-MsalToken无需重复传参（若传参也会以创建时的配置为准）。

2. 不提前指定TenantId，仅在Get-MsalToken时传入Authority #

若需灵活修改Authority，创建客户端应用时不要传-TenantId：

$MsalClientApplication = New-MsalClientApplication -ClientId $appID -ClientCertificate $ClientCertificate;

之后在Get-MsalToken中传入-Authority即可生效。你可以故意传入错误的Authority（比如无效租户ID、错误端点路径），此时Get-MsalToken会抛出错误，以此验证参数是否生效。

注意：你当前定义的$authority格式有误，正确的Authority不需要末尾的/oauth2/v2.0/token，标准格式为https://login.microsoftonline.com/{tenantId}/v2.0（v2.0端点）或https://login.microsoftonline.com/{tenantId}（v1.0端点）。

二、验证实际使用的Authority #

1. 解析令牌的Issuer字段 #

JWT令牌的iss（签发者）字段就是实际使用的Authority端点。你已经用Get-JWTDetails解析令牌，直接查看输出中的iss值即可，示例如下：

iss: https://login.microsoftonline.com/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxx/v2.0

该值即为获取令牌时使用的权威机构端点。

2. 启用MSAL日志查看请求详情 #

在创建客户端应用前添加日志配置，可查看MSAL实际请求的令牌端点：

$logger = New-Object Microsoft.Identity.Client.DefaultLogger([Microsoft.Identity.Client.LogLevel]::Verbose, {
    param($level, $message, $containsPii)
    Write-Host "MSAL Log: $message"
})
$MsalClientApplication = [Microsoft.Identity.Client.ConfidentialClientApplicationBuilder]::Create($appID).WithCertificate($ClientCertificate).WithLogger($logger).Build()

日志中会包含类似Fetching token from https://login.microsoftonline.com/xxxxxx/oauth2/v2.0/token的条目，直接查看该URL即可确认实际使用的Authority对应的端点。

内容的提问来源于stack exchange，提问作者Clint