如何配置ConfidentialClientApplication将resource放入请求体而非查询参数？

你遇到的问题本质是Azure AD v1.0与v2.0端点的参数规则差异导致的：

• v2.0端点默认使用scope参数，MSAL会将相关参数放在查询字符串中
• v1.0端点针对客户端凭证流，会将resource参数放入请求体，这和你在Postman中的工作方式完全一致

解决方案 #

1. 切换到v1.0授权端点：构建Authority时明确指定v1.0路径
2. 调整scopes参数：直接将目标资源标识符拼接.default作为scope，无需通过WithExtraQueryParameters传递resource

修正后的代码如下：

var resourceId = "api://resource";
var scopes = new List<string> { $"{resourceId}/.default" };

var confidentialClient = ConfidentialClientApplicationBuilder
    .Create("ClientId")
    .WithClientSecret("secret")
    .WithAuthority(new Uri("https://login.microsoftonline.com/tenantid/v1.0")) // 明确使用v1.0端点
    .Build();

// 建议用await替代.Result，避免同步调用异步方法引发的死锁问题
var accessToken = await confidentialClient.AcquireTokenForClient(scopes).ExecuteAsync();
Console.WriteLine(accessToken.AccessToken);

原理说明 #

使用v1.0授权端点时，MSAL会自动从你指定的scope中提取resource标识符，将其放入请求体的resource参数中，完全匹配Postman的请求格式。同时{resource}/.default是Azure AD客户端凭证流的标准scope格式，会自动授予该客户端在目标资源上已配置的所有应用角色权限。

内容的提问来源于stack exchange，提问作者Mark