在单页应用中通过MSAL登录使用Azure CosmosDB的配置问题

正确的CosmosClient配置方式 #

你的代码核心问题在于参数结构错误，且未使用正确的凭据传入方式。针对SPA场景，以下是两种可行的配置方案：

方案1：直接使用已获取的JWT令牌 #

如果你已经持有有效访问令牌，需要用@azure/core-auth中的AccessTokenCredential包装令牌后，通过azureCredentials字段传入（注意字段名是azureCredentials而非你尝试的aadCredentials）：

import { CosmosClient } from "@azure/cosmos";
import { AccessTokenCredential } from "@azure/core-auth";

// 替换为你的有效JWT令牌
const jwtToken = "你的JWT访问令牌";
// 令牌过期时间需与实际令牌的exp字段匹配
const credential = new AccessTokenCredential(jwtToken, {
  expiresOnTimestamp: Date.now() + 3600 * 1000
});

const cosmosClient = new CosmosClient({
  endpoint: "https://my-service.my-ressource.azure.com:443",
  azureCredentials: credential
});

方案2：通过Azure Identity SDK自动管理令牌 #

如果需要自动处理令牌的获取与刷新，使用BrowserCredential（需确保应用注册的重定向URI与SPA配置一致）：

import { CosmosClient } from "@azure/cosmos";
import { BrowserCredential } from "@azure/identity";

const credential = new BrowserCredential({
  clientId: "你的应用注册Client ID",
  redirectUri: "你的SPA重定向URI" // 必须与Azure应用注册中配置的完全一致
});

const cosmosClient = new CosmosClient({
  endpoint: "https://my-service.my-ressource.azure.com:443",
  azureCredentials: credential
});

关键验证点 #

• 令牌有效性检查：用JWT解码工具确认令牌的aud字段为https://cosmos.azure.com/，scp字段包含user_impersonation权限。
• 角色绑定确认：确保当前用户所属的AD组已被正确绑定到CosmosDB的自定义角色，角色的权限范围（数据库/容器）和操作（读写）配置无误。
• 参数格式正确：endpoint必须作为显式属性传入，不能直接放置字符串；凭据需通过azureCredentials字段传递。

内容的提问来源于stack exchange，提问作者Björn Enders