使用自定义URL登录时出现AADSTS700016错误的技术求助

1. 核对Azure应用注册的重定向URI配置 #

• 确认自定义URL已添加到Azure门户「应用注册→身份验证→重定向URI」列表，注意协议（http/https）、域名、回调路径必须和Passport-JS配置完全一致
• 若React是单页应用+后端Passport认证，需同时配置SPA类型和Web类型的重定向URI，避免类型不匹配导致的租户识别错误

2. 校验Passport-JS的Azure AD策略配置 #

• 检查代码中tenantID是否为目标租户的正确ID，避免硬编码错误或环境变量加载失败
• 确认clientID、clientSecret与Azure应用注册的生产配置一致，排查GCP环境变量在自定义域名部署版本中是否正确加载
• 重点检查callbackURL是否动态生成，禁止硬编码GCP默认URL：

  // 错误示例：硬编码默认域名
  callbackURL: "https://your-gcp-default-url.com/auth/azure/callback"
  // 正确写法：动态获取当前请求的域名
  callbackURL: `${req.protocol}://${req.get('host')}/auth/azure/callback`
  

3. 检查GCP自定义域名配置状态 #

• 确认自定义域名已正确映射到App Engine服务，且SSL证书有效（Azure AD强制HTTPS，HTTP自定义域名会触发验证失败，间接导致租户错误）
• 验证App Engine对应版本的环境变量是否完整包含Azure认证所需参数（tenantID、clientID等）

4. 排查Azure AD租户验证细节 #

• 清除浏览器缓存和Cookie，避免旧的默认URL认证会话干扰
• 发起自定义URL的认证请求时，查看地址栏的授权URL，确认tenant参数为目标租户ID（格式：https://login.microsoftonline.com/{your-tenant-id}/oauth2/v2.0/authorize）
• 检查Azure应用注册的「应用ID URI」是否包含自定义URL对应的受众配置（v2.0端点需要）

5. 查看日志定位参数问题 #

• 在GCP App Engine开启详细日志，排查认证请求中传递给Azure AD的tenantID、redirectUri等参数是否正确
• 确认GCP负载均衡或代理未修改请求的Host头，导致Passport生成错误的回调URL

内容的提问来源于stack exchange，提问作者powerlordx1