如何在Python中使用MSAL基于AAD B2C获取ACCESS Token

核心问题排查 #

• 未指定正确作用域(Scope)：仅请求openid、profile这类ID Token专属作用域时，MSAL只会返回ID Token。必须包含目标API的作用域（格式通常为https://{tenant}.onmicrosoft.com/{api-client-id}/.default或自定义作用域）。
• AAD B2C应用配置错误：
  • 桌面/移动应用（Public Client）需在AAD B2C中设置为公共客户端/本机类型，确保授权码流+PKCE的支持。
  • 目标API需已在AAD B2C注册，且客户端应用已被分配对应API权限（需勾选“授予管理员同意”）。

PublicClientApplication 获取Access Token的正确实现 #

1. 初始化应用实例 #

确保指定B2C专属的Authority：

var pca = PublicClientApplicationBuilder
    .Create("{你的客户端ID}")
    .WithB2CAuthority("https://{租户名称}.b2clogin.com/{租户名称}.onmicrosoft.com/{用户流名称}")
    .Build();

2. 请求含API作用域的令牌 #

调用交互式获取方法时，传入API的具体作用域：

var scopes = new[] { "https://{租户}.onmicrosoft.com/{API客户端ID}/api.read" }; // 替换为你的API作用域
var result = await pca.AcquireTokenInteractive(scopes)
    .WithParentActivityOrWindow(parentWindowHandle) // 桌面应用需传入窗口句柄
    .ExecuteAsync();

// 此时 result.AccessToken 会返回有效值，result.IdToken 也会同时生成

ConfidentialClientApplication 示例的修正 #

快速入门示例默认仅请求ID Token作用域，修改为API的/.default作用域即可获取Access Token：

var cca = ConfidentialClientApplicationBuilder
    .Create("{你的客户端ID}")
    .WithB2CAuthority("https://{租户名称}.b2clogin.com/{租户名称}.onmicrosoft.com/{用户流名称}")
    .WithClientSecret("{客户端密钥}")
    .Build();

var scopes = new[] { "https://{租户}.onmicrosoft.com/{API客户端ID}/.default" };
var result = await cca.AcquireTokenForClient(scopes).ExecuteAsync();

ID Token声明的处理 #

MSAL会自动解析ID Token的声明，直接通过IdTokenClaims访问即可：

var userId = result.IdTokenClaims["oid"];
var displayName = result.IdTokenClaims["name"];

额外注意事项 #

• 确保用户流/自定义策略已配置颁发Access Token的逻辑（默认注册/登录流均支持）。
• 桌面应用优先使用授权码流+PKCE（即AcquireTokenInteractive），避免密码流以提升安全性。
• 开启MSAL日志排查问题：

var logger = new ConsoleLogger(LogLevel.Verbose);
var pca = PublicClientApplicationBuilder
    .Create("{你的客户端ID}")
    .WithB2CAuthority("https://{租户名称}.b2clogin.com/{租户名称}.onmicrosoft.com/{用户流名称}")
    .WithLogging(logger)
    .Build();

内容的提问来源于stack exchange，提问作者Gabriel Colli