如何在Microsoft Identity Platform的OAuth2 ROPC流程中延长Access Token有效期

首先要明确：Microsoft Identity Platform的Access Token有效期是由平台管控的，用户没法直接自定义时长，但可以通过以下方式尽可能拉长有效访问时间：

• 调整权限范围
  别只局限于openid、profile这类ID令牌相关的基础范围，尽量使用对应具体资源的API权限（比如用User.Read.All替代基础的User.Read）。部分资源API对应的Access Token有效期会更长。你当前示例里的scope=User.Read profile openid email是基础组合，可根据实际业务需求替换。

• 确认应用配置合规
  ROPC流程要求必须是机密客户端，你请求里传了client_secret这点没问题。另外在Azure门户的应用注册页，检查「令牌配置」项，但要注意：微软不允许随意修改Access Token的默认有效期，多数场景下平台会根据资源类型分配1小时到24小时不等的时长。

• 利用刷新令牌维持访问
  只要请求的scope包含offline_access，ROPC流程会返回refresh_token。Access Token过期后，用刷新令牌就能获取新的Access Token，不用再重复输入用户名密码。刷新令牌最长有效期可达90天，定期用它更新Access Token，相当于间接延长了有效访问时长。
  添加offline_access后的请求示例：

  curl --location 'https://login.microsoftonline.com/tentId/oauth2/v2.0/token' \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'client_id=xxxxxxxxx' \
  --data-urlencode 'scope=User.Read profile openid email offline_access' \
  --data-urlencode 'grant_type=password' \
  --data-urlencode 'username=XXXXXXXXXXXX.onmicrosoft.com'\
  --data-urlencode 'password=xxxxxxxxxxxx' \
  --data-urlencode 'client_secret=xxxxxxxxxx' 
  

  用刷新令牌获取新Access Token的请求示例：

  curl --location 'https://login.microsoftonline.com/tentId/oauth2/v2.0/token' \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'client_id=xxxxxxxxx' \
  --data-urlencode 'scope=User.Read profile openid email' \
  --data-urlencode 'grant_type=refresh_token' \
  --data-urlencode 'refresh_token=YOUR_REFRESH_TOKEN' \
  --data-urlencode 'client_secret=xxxxxxxxxx' 
  

• 清楚平台硬性限制
  Microsoft Identity Platform对Access Token的最大有效期有明确限制，多数场景下最长为24小时，没法突破。如果业务需要更长时间的访问，建议考虑其他OAuth 2.0流程（比如客户端凭证流程），毕竟ROPC本身是安全性较低的遗留流程，微软并不推荐广泛使用。

内容的提问来源于stack exchange，提问作者Ravindra Babu