Laravel集成MSGraph委托登录流实现遇阻求助

你在Laravel中实现MS Graph委托登录流时遇到的问题，核心是Token请求的参数和授权类型错误，以下是具体修复步骤：

运行结果截图显示：请求Graph API的/me端点时返回权限不足或无效token的错误

1. 修正授权类型与Token请求端点 #

委托登录（Authorization Code Flow）必须使用authorization_code授权类型，而非client_credentials（后者是应用权限流，无需用户登录）。同时，授权请求用的是v2端点，Token请求也需对应v2版本端点，避免版本不兼容：

private function getToken($code)
{
    $clientId = env("MSAP_CLIENT_ID");
    $secretId = env("MSAP_SECRET_ID");
    $tenantId = env("MSAP_TENANT_ID");
    $redirect = env("MSAP_LANDING_URL");
    $guzzle = new Client();

    // 改用v2版本的token端点
    $url = 'https://login.microsoftonline.com/' . $tenantId . '/oauth2/v2.0/token';

    $response = $guzzle->post($url, [
        'form_params' => [
            'client_id' => $clientId,
            'client_secret' => $secretId,
            'grant_type' => 'authorization_code', // 修正为委托流的授权类型
            'code' => $code, // 传入授权回调获取的code
            'redirect_uri' => $redirect, // 必须和授权请求的redirect_uri完全一致
            'scope' => 'User.Read' // 与授权时的scope保持统一
        ],
    ])->getBody()->getContents();
    
    $token = json_decode($response);
    
    // 提前捕获错误，方便调试
    if (isset($token->error)) {
        dd($token->error_description);
    }
    
    return $token->access_token;
}

2. 移除错误参数与冗余配置 #

• 删除form_params中的Authorization字段：授权码流程无需通过Basic Auth传递code，直接通过code参数提交即可
• 移除resource参数：v2版本端点已用scope替代该参数

3. 优化回调参数校验逻辑 #

原代码用count($params) >=3判断不严谨，直接检查code参数是否存在更可靠：

public function home()
{
    $query = parse_url(URL::full(), PHP_URL_QUERY);
    if (!$query) {
        return "error: 缺少授权参数";
    }
    parse_str($query, $params);
    
    if (!isset($params['code'])) {
        return "error: 缺少授权码";
    }
    
    $this->getMe($this->getToken($params['code']));
}

4. 额外优化建议 #

• CSRF防护：授权请求中的state参数建议使用随机字符串，不要固定为12345，避免跨站请求伪造攻击
• URI一致性：确保.env中MSAP_LANDING_URL与Azure AD应用注册里配置的重定向URI完全一致（包括协议、域名、路径）
• 异常处理：给getMe方法添加异常捕获，便于调试Graph API请求错误：

private function getMe($token) {
    $headers = [
        'Content-Type' => 'application/json',
        'Authorization' => 'Bearer '.$token,
    ];
    $guzzle = new Client([
        'headers' => $headers
    ]);
    
    try {
        $user = json_decode($guzzle->get('https://graph.microsoft.com/v1.0/me')->getBody()->getContents());
        dd($user);
    } catch (\Exception $e) {
        dd('Graph API请求失败: ' . $e->getMessage());
    }
}

完成以上修复后，你的MS Graph委托登录流程即可正常运行，成功获取当前登录用户的信息。

内容的提问来源于stack exchange，提问作者Martin Hartmann