配置Blazor WASM+WebAPI的Microsoft Identity时，指定Scope未显示同意页

问题背景 #

已完成以下Microsoft Identity认证配置：

• 在Azure中创建了前端（Blazor WASM）和后端（WebAPI）两个应用注册
• 后端应用注册中配置了委托权限，并暴露了API Scope
• 后端应用注册的knownClientApplications已指向前端应用ID
• 前端应用注册中添加了对应权限
• 完成Blazor WASM客户端认证配置

当前问题：认证时能正常获取Token，但未展示包含后端权限的同意页，导致OBO流程因缺少权限同意失败，Azure门户中无相关同意记录。

已尝试的操作：

• 使用.default Scope时会显示同意页，但颁发的Token包含错误的MS Graph Scope
• 确认认证配置本身无问题，已有权限同意时功能正常

可能原因 #

1. 前端未显式请求后端API的具体Scope
   如果前端认证配置中没有指定后端API的专属Scope，而是依赖默认值，Azure AD可能不会触发对应的权限同意流程。
2. knownClientApplications配置触发自动静默同意
   当后端应用注册设置knownClientApplications关联前端应用后，Azure AD可能会自动同意前端对后端API的权限，跳过用户同意页，但如果该权限需要用户主动同意，这个自动逻辑会导致权限未被正确授予。
3. 权限的同意类型配置不匹配
   后端应用注册中的委托权限如果设置为“仅管理员同意”，则用户端不会显示同意页，必须由管理员提前完成全局或用户级别的同意；如果是“用户和管理员均可同意”，但前端未请求对应Scope，也不会触发同意页。
4. 已有残留的同意记录干扰
   用户或管理员之前的同意记录可能导致Azure AD跳过重复的同意请求，但实际权限并未正确关联到当前流程。

解决方案 #

1. 前端显式指定后端API的Scope
   在Blazor WASM的认证配置中，明确添加后端应用暴露的具体Scope，示例代码：

   builder.Services.AddMsalAuthentication(options =>
   {
       builder.Configuration.Bind("AzureAd", options.ProviderOptions.Authentication);
       // 替换为你的后端API Scope
       options.ProviderOptions.DefaultAccessTokenScopes.Add("api://<你的后端应用ID>/access_as_user");
   });
   

   确保不要混合添加MS Graph的Scope，避免.default带来的冗余权限。

2. 调整knownClientApplications配置
   暂时移除后端应用注册中的knownClientApplications配置，重新测试认证流程，观察是否出现同意页。如果恢复正常，再根据业务需求决定是否保留该配置（该配置主要用于后端API主动请求前端权限的场景）。

3. 确认权限的同意类型
   进入后端应用注册的“API权限”页面，检查每个委托权限的“谁可以同意”设置：

   • 若为“用户和管理员均可同意”：确保前端请求了对应的Scope，用户登录时会触发同意页
   • 若为“仅管理员同意”：需要管理员在Azure门户的“企业应用”>“权限”中完成“授予管理员同意”操作

4. 清理现有同意记录

   • 在Azure门户进入“Azure Active Directory”>“企业应用”>找到前端应用>“用户同意和权限”>“用户同意”
   • 删除相关的同意记录后，让用户重新登录测试

内容的提问来源于stack exchange，提问作者Martin Gubis