MSAL.js未配置offline_access仍自动添加，工作账户登录需管理员审批怎么办？

核心原因排查 #

首先确认是否真的自动添加了offline_access：打开浏览器开发者工具的网络面板，找到登录时的授权请求（URL包含https://login.microsoftonline.com/common/oauth2/v2.0/authorize），查看scope参数，就能明确实际请求的权限范围。

具体解决方法 #

1. 明确指定登录请求的权限范围 #

在MSAL.js的登录代码里，显式声明需要的scope，避免框架自动追加不必要的权限。比如：

const loginRequest = {
  scopes: ["openid", "profile", "User.Read"] // 只请求必要的用户级权限
};

msalInstance.loginPopup(loginRequest)
  .then(response => { /* 处理登录成功逻辑 */ })
  .catch(error => { /* 处理错误 */ });

这样就能确保不会自动添加offline_access或其他未声明的权限。

2. 检查Azure AD应用注册配置 #

• 清理不必要的管理员权限：登录Azure门户，进入你的应用注册 → 「API权限」页面，移除所有需要「管理员同意」的权限（比如Directory.Read.All这类租户级权限），只保留用户可自行同意的权限（如User.Read、Mail.Read等）。
• 确认权限同意设置：对于保留的权限，确保其类型是「用户可同意」（可在权限详情里查看），如果是「需要管理员同意」的权限，要么替换为用户级权限，要么如果确实需要，就必须让租户管理员提前审批。
• 检查多租户配置：如果你的应用是多租户应用，确保没有在「企业应用」里强制设置管理员同意要求。

3. 避免触发刷新令牌相关的权限请求 #

如果你的代码中使用了acquireTokenSilent或其他获取令牌的方法，确保传入的scope和登录时一致，不要额外添加offline_access。MSAL.js只有在明确请求时才会包含该权限，不会自动添加。

关键注意点 #

只要你的应用请求的所有权限都是用户可自行同意的类型，并且没有在代码或Azure配置中引入需要管理员审批的权限，工作账户登录时就不会出现管理员审批的提示。

内容的提问来源于stack exchange，提问作者N B