使用.NET 5.0获取Azure令牌时遭遇AADSTS9002327错误的求助（是否需配置CORS？）

首先，咱们来拆解你遇到的核心问题：错误AADSTS9002327的根源是Azure AD应用注册的客户端类型和你代码里使用的PublicClientApplication不匹配。

为什么会出现这个错误？ #

你在Azure AD里注册的应用被设置成了Single-Page Application（SPA）类型，但你的代码用的是PublicClientApplication——这是给移动/桌面原生客户端用的MSAL类。SPA类型的令牌只能通过浏览器的跨域请求兑换，而原生客户端的令牌获取逻辑完全不同，所以Azure AD拒绝了你的请求。

分步解决步骤 #

1. 修正Azure AD应用注册的客户端类型

登录Azure门户，找到你的应用注册：

• 进入身份验证页面
• 找到现有的重定向URI，如果你之前添加的是SPA类型的（标记为"SPA"的），可以先保留，但必须添加一个移动和桌面应用类型的重定向URI：
  • 点击"添加平台"，选择"移动和桌面应用"
  • 勾选http://localhost或者http://localhost:8080（和你代码里用的一致），保存配置
• 确保不要把原生客户端的重定向URI标记为SPA类型，两者要严格区分开

2. 调整代码中的重定向URI配置

你的代码里已经尝试了http://localhost:8080，现在需要确保它和Azure里配置的原生客户端重定向URI完全一致，同时去掉不合适的配置：

var builder = PublicClientApplicationBuilder.Create(ClientId)
    .WithAuthority($"{Instance}{Tenant}")
    .WithRedirectUri("http://localhost:8080") // 和Azure里的原生客户端重定向URI保持一致
    // 注释掉冲突的配置项
    //.WithRedirectUri("https://login.microsoftonline.com/common/oauth2/nativeclient")
    //.WithDefaultRedirectUri();
var app = builder.Build();
IAccount account = PublicClientApplication.OperatingSystemAccount;
AuthenticationResult authResult = null;
try
{
    Console.WriteLine("Trying AcquireTokenSilent");
    authResult = await app.AcquireTokenSilent(scopes, account)
        .ExecuteAsync();
    Console.WriteLine("authResult = {0}", authResult);
}
catch (MsalUiRequiredException ex)
{
    Console.WriteLine("caught MsalUiRequiredException ex = {0}", ex);
    try
    {
        Console.WriteLine("Trying AcquireTokenInteractive");
        authResult = await app.AcquireTokenInteractive(scopes)
            .WithAccount(account)
            .WithPrompt(Prompt.SelectAccount)
            .ExecuteAsync();
        Console.WriteLine("authResult = {0}", authResult);
    }
    catch (MsalException msalex)
    {
        Console.WriteLine($"Error Acquiring Token:{System.Environment.NewLine}{msalex}");
    }
}

3. 关于CORS的澄清

你怀疑需要配置CORS，但这个问题和CORS完全无关。CORS是浏览器端的安全限制，用于控制不同域名之间的请求。而你的应用是桌面客户端（使用PublicClientApplication），不存在浏览器的跨域限制，所以不需要配置任何CORS规则。之前的错误都是因为应用注册类型不匹配导致的，和CORS没关系。

回顾之前的loopback错误 #

你之前遇到的loopback_redirect_uri错误，是因为PublicClientApplication要求使用loopback地址（http://localhost开头）作为重定向URI，而你一开始用的https://login.microsoftonline.com/common/oauth2/nativeclient不符合要求。改成http://localhost:8080是正确的，但因为当时应用注册还是SPA类型，所以触发了新的AADSTS9002327错误——现在只要把应用注册改成原生客户端类型，这个问题就会解决。

内容的提问来源于stack exchange，提问作者Patrick