如何静默获取访问令牌，通过Microsoft Graph API获取当前登录用户信息

核心问题梳理 #

你需要桌面应用启动时自动获取当前系统登录用户的Graph信息，无需重复输入凭据，已尝试的方案存在以下问题：

• 客户端凭据流：属于服务端身份，无用户上下文，无法调用/me端点，也无法关联当前登录用户
• 常规委托流：默认需要用户交互，无法直接跳过
• WAM：部分账户无法静默工作，大概率是配置或账户类型适配问题

推荐方案：WAM静默模式（正确配置） #

WAM是微软官方推荐的桌面端身份验证方案，只要配置正确，可稳定实现静默获取已登录用户令牌，解决部分账户失效问题：

• 应用注册要求：Azure AD中你的应用需启用「公共客户端/桌面设备」平台，勾选「允许使用默认客户端类型」（桌面应用属于公共客户端）
• 账户适配：AAD工作/学校账户的静默支持最稳定；个人MSA账户需用户首次通过WAM完成一次交互登录，后续可静默获取
• 代码实现（C# + MSAL.NET）：

var pca = PublicClientApplicationBuilder
    .Create("你的应用ID")
    .WithWindowsBroker(true) // 启用WAM
    .WithTenantId("你的租户ID")
    .Build();

// 获取系统中已登录的AAD/MSA账户
var accounts = await pca.GetAccountsAsync();
var targetAccount = accounts.FirstOrDefault();

if (targetAccount != null)
{
    try
    {
        // 静默获取用户令牌
        var tokenResult = await pca.AcquireTokenSilent(new[] { "User.Read" }, targetAccount)
            .ExecuteAsync();
        
        // 调用Graph API获取用户信息
        var graphClient = new GraphServiceClient(
            new DelegateAuthenticationProvider(req =>
            {
                req.Headers.Authorization = new AuthenticationHeaderValue("Bearer", tokenResult.AccessToken);
                return Task.CompletedTask;
            }));
        
        var currentUser = await graphClient.Me.Request().GetAsync();
        // 基于用户信息自定义应用设置
    }
    catch (MsalUiRequiredException)
    {
        // 无可用静默令牌，触发一次交互登录（仅首次或令牌无法刷新时）
        var interactiveResult = await pca.AcquireTokenInteractive(new[] { "User.Read" })
            .ExecuteAsync();
        // 后续启动即可静默获取
    }
}

备选方案：集成Windows身份验证（IWA） #

针对加入域或Azure AD Joined的设备，可使用IWA流完全实现无交互登录：

• 应用注册要求：启用「公共客户端/桌面设备」平台，添加User.Read委托权限（租户内应用无需管理员同意）
• 代码实现（C# + MSAL.NET）：

var pca = PublicClientApplicationBuilder
    .Create("你的应用ID")
    .WithTenantId("你的租户ID")
    .Build();

try
{
    // 直接通过Windows身份验证获取令牌
    var tokenResult = await pca.AcquireTokenByIntegratedWindowsAuth(new[] { "User.Read" })
        .ExecuteAsync();
    
    var graphClient = new GraphServiceClient(
        new DelegateAuthenticationProvider(req =>
        {
            req.Headers.Authorization = new AuthenticationHeaderValue("Bearer", tokenResult.AccessToken);
            return Task.CompletedTask;
        }));
    
    var currentUser = await graphClient.Me.Request().GetAsync();
    // 处理用户信息
}
catch (MsalUiRequiredException)
{
    // 设备未加入域/AAD，或用户无权限，需触发交互登录
}

关键注意事项 #

• 桌面应用必须注册为公共客户端，而非机密客户端，否则无法使用静默或IWA流
• 必须请求委托权限（如User.Read），应用权限属于服务端身份，无法关联用户上下文
• 首次使用时，无论哪种静默方案，都需要用户完成一次交互登录（域Joined设备的IWA除外），后续启动可完全静默

内容的提问来源于stack exchange，提问作者Vhagar