使用Next.js+NextAuth集成AzureADProvider时遇AADSTS50020错误求助

错误根源 #

你用个人微软账号创建的应用注册属于个人默认租户（Default Directory），而学校邮箱隶属于学校独立的Azure AD租户。默认单租户应用仅允许所属租户内的用户登录，因此学校租户的用户会被系统拒绝，触发AADSTS50020错误。

实操解决方案 #

1. 更改应用注册的租户类型 #

• 登录Azure门户，找到你的应用注册
• 进入概述页面，点击管理租户类型
• 选择账户在任何组织目录（任何Azure AD目录 - 多租户）（如果只想允许本校租户用户，选这个；若要兼容个人微软账号，就选带个人账户的选项），保存更改

2. 配置应用的用户访问限制（可选） #

如果要严格限制只有本校域用户能登录，可做以下设置：

• 在Azure门户的企业应用板块找到你的应用
• 进入属性页，将需要用户分配？设为是
• 进入用户和组，添加本校的用户组（如果学校AD有统一分组的话）

3. 调整NextAuth的AzureADProvider配置 #

修改你的[...nextauth].js/ts文件，确保配置适配多租户场景：

import NextAuth from "next-auth";
import AzureADProvider from "next-auth/providers/azure-ad";

export default NextAuth({
  providers: [
    AzureADProvider({
      clientId: process.env.AZURE_AD_CLIENT_ID,
      clientSecret: process.env.AZURE_AD_CLIENT_SECRET,
      // 若仅允许本校租户，填学校的租户GUID；若允许所有组织租户，填"common"
      tenantId: process.env.AZURE_AD_TENANT_ID || "common",
      authorization: {
        params: {
          scope: "openid profile email", // 必须请求email权限，用于后续识别用户邮箱
        },
      },
    }),
  ],
  // 强制校验邮箱域，确保只有本校用户能登录
  callbacks: {
    async signIn({ profile }) {
      // 替换成你的学校邮箱域名，比如"school.edu"
      const schoolDomain = "school.edu";
      return profile.email?.endsWith(`@${schoolDomain}`) ?? false;
    },
  },
});

需求适配优化 #

• 无注册登录：多租户配置完成后，本校用户用学校邮箱登录时，NextAuth会自动在应用中创建用户记录，无需手动注册
• 身份识别：通过邮箱后缀确认本校身份，还可结合学校AD返回的用户属性（如职位、角色字段）区分教师和学生，在登录回调或数据库存储时标记用户身份
• 杜绝随意注册：通过邮箱域校验，非本校邮箱会被直接拒绝登录，确保用户身份真实有效

内容的提问来源于stack exchange，提问作者aronmal