为何MSAL Node中AuthorizationCodeRequest与AuthorizationCodeUrlRequest作用域可不一致？

为什么仅在authCodeUrlRequestParams加作用域可行？ #

当你在authCodeUrlRequestParams中指定Calendars.Read并引导用户授权时，用户同意后，授权服务器返回的授权码已经绑定了该作用域。调用acquireTokenByCode时，即便authCodeRequestParams未显式声明这个作用域，MSAL Node会自动复用授权码中已包含的所有权限来获取令牌，最终拿到的令牌会包含Calendars.Read，因此能正常访问对应数据。

反过来请求失败的原因 #

如果只在authCodeRequestParams中添加Calendars.Read，但authCodeUrlRequestParams里没有这个作用域，用户跳转授权时根本没有被要求同意该权限，授权码自然不包含这个作用域。此时用这个授权码请求令牌时，指定了未经过用户授权的作用域，授权服务器会直接拒绝请求，导致失败。

文档要求作用域一致的意义 #

官方文档强调两个请求的作用域要一致，是为了：

• 避免逻辑模糊：明确知道当前请求的权限范围，防止无意识获取额外权限
• 兼容未来变更：部分场景下授权服务器可能会强制校验请求作用域与授权码绑定的作用域，不一致会导致请求失败
• 提升代码可维护性：让权限请求逻辑更清晰，便于后续维护

内容的提问来源于stack exchange，提问作者Marvin