Spring Boot单应用配置oauth2-resource-server与oauth2-client为web_application_and_resource_server时authorization_code授权类型不支持问题排查

首先，你遇到的Web Api do not support authorization_code grant type错误，核心原因是当应用被标记为web_application_and_resource_server时，资源服务器组件会接管令牌验证逻辑，而authorization_code是前端/客户端用来获取用户令牌的授权类型，并非资源服务器要处理的流程。你的配置里把graph客户端的授权类型设为authorization_code，这和资源服务器的角色冲突了。

一、修正Spring Boot配置 #

根据你的需求（所有内部API通过令牌认证，同时可能需要调用Graph API），调整配置如下：

# 基础Azure AD配置
azure.activedirectory.tenant-id=你的租户ID
azure.activedirectory.client-id=你的应用注册ID
azure.activedirectory.client-secret=你的应用密钥
azure.activedirectory.application-type=web_application_and_resource_server
# 关键：资源服务器的标识符，必须配置，Azure AD颁发的令牌aud声明会对应这个值
azure.activedirectory.app-id-uri=你的应用注册的"暴露API"里设置的URI（比如https://contoso-api.com）

# 如果需要调用Graph API，用on_behalf_of授权类型（资源服务器代表已认证用户调用下游API）
azure.activedirectory.authorization-clients.graph.authorizationGrantType=on_behalf_of
azure.activedirectory.authorization-clients.graph.scopes=https://graph.microsoft.com/User.Read,Directory.AccessAsUser.All,offline_access,openid,profile,email

配置说明： #

• app-id-uri是必填项：资源服务器需要通过这个值验证令牌的aud（受众）声明，确保令牌是颁发给当前应用的，没有这个配置，资源服务器无法正确验证令牌。
• on_behalf_of授权类型：当你的应用作为资源服务器接收到用户令牌后，需要代表用户调用Graph API时，应该使用这个授权类型，它会用当前用户的令牌去交换一个用于调用Graph的令牌，这才符合资源服务器+客户端的组合场景。
• 如果你的应用不需要调用外部API（仅作为资源服务器处理内部API认证），可以完全去掉authorization-clients相关配置，只保留基础的tenant-id、client-id、client-secret、application-type和app-id-uri即可。

二、Azure AD层面的必要配置 #

1. 暴露API并设置app-id-uri：
   • 进入Azure AD的应用注册，找到"暴露API"选项卡，设置应用ID URI（就是配置里的app-id-uri），然后添加至少一个范围（比如api://contoso-api.com/access_as_user），客户端获取令牌时会请求这个范围。
2. 配置API权限：
   • 如果需要调用Graph API，在"API权限"里添加Graph的委派权限（比如User.Read），并确保已获得管理员同意（如果权限需要的话）。
   • 同时，确保应用注册里添加了自己应用的权限（即刚才暴露的范围），这样客户端获取的令牌会包含对当前资源服务器的访问权限。
3. 认证设置：
   • 在"认证"选项卡中，确保应用类型为"Web"，并添加符合你场景的重定向URI（如果有前端客户端登录的话；如果仅作为资源服务器，可能不需要，但建议保留一个用于测试的URI）。
4. 客户端密钥：
   • 在"证书和密码"选项卡中生成客户端密钥，并确保配置里的client-secret和这个值一致。

三、验证逻辑 #

当用户通过客户端（比如前端）获取到包含你应用范围的令牌后，请求你的内部API时，Spring Boot的资源服务器组件会自动验证令牌的有效性（包括签名、aud声明、过期时间等），验证通过后才会允许访问API。如果需要调用Graph API，Spring Boot的客户端组件会用on_behalf_of流程交换Graph的令牌，然后发起请求。

内容的提问来源于stack exchange，提问作者kesavi