使用Microsoft OAuth登录非微软域账户时遇redirect_uri无效错误

问题根源 #

你当前授权请求用了单租户模式（URL里把租户参数写成了{clientid}），这种模式只允许注册应用的Azure AD租户内的用户登录。hotmail、outlook等个人微软账号属于公共租户，跨租户跳转时就会触发redirect_uri不匹配的错误。

解决方案 #

1. 修改授权请求的租户参数 #

把授权URL里的{clientid}替换成common（支持所有工作/学校账号+个人微软账号），或者consumers（仅支持个人微软账号），修改后的请求示例：

https://login.microsoft.com/common/oauth2/v2.0/authorize?client_id={client_id}&response_type=code&redirect_uri={redirect_uri}&scope=email%20profile%20openid&response_mode=form_post

2. 调整Azure应用注册的账户类型设置 #

• 登录Azure门户，找到你的应用注册，进入「认证」页面
• 确认业务用的redirect_uri已经正确添加（和请求里的完全一致）
• 在「支持的账户类型」里选：
  • 「任何组织目录中的账户和个人Microsoft账户（例如Skype、Xbox、Outlook.com）」（对应common租户）
  • 或者「仅限个人Microsoft账户」（对应consumers租户）

3. 核对权限范围 #

确保请求的scope包含openid profile email，如果需要离线访问可以追加offline_access，这些权限要在Azure应用注册的「API权限」里提前配置好。

补充说明 #

换成common租户后，微软会自动处理个人账号的跳转逻辑，不会再出现redirect_uri无效的提示——因为此时跨租户重定向的官方端点会被系统正确识别，你的应用只需要维护自己的业务回调URI就行。

内容的提问来源于stack exchange，提问作者david-code