ASP.NET Core 6 MVC多租户应用首次登录一次性获取多作用域问题

核心问题分析 #

使用[AuthorizeForScopes]属性处理跨多个资源的作用域请求时，该属性默认的增量授权逻辑会导致浏览器重复跳转，无法一次性触发管理员的组织级同意。需要通过全局配置+手动令牌获取逻辑来实现一次性请求所有所需作用域。

解决方案步骤 #

1. 全局身份验证配置（Program.cs） #

在配置Microsoft Identity Web时，预先声明所有所需作用域，并配置支持管理员组织同意的参数：

var builder = WebApplication.CreateBuilder(args);

// 添加控制器与视图服务
builder.Services.AddControllersWithViews();

// 配置Microsoft Identity Web身份验证
builder.Services.AddMicrosoftIdentityWebAppAuthentication(builder.Configuration)
    .EnableTokenAcquisitionToCallDownstreamApi(new[]
    {
        "https://graph.microsoft.com/User.Read",
        "https://management.core.windows.net/user_impersonation",
        "https://database.windows.net/user_impersonation"
    })
    .AddInMemoryTokenCaches();

// 自定义OpenIdConnect配置，确保一次性请求所有作用域
builder.Services.Configure<OpenIdConnectOptions>(OpenIdConnectDefaults.AuthenticationScheme, options =>
{
    // 多租户场景设置租户为organizations（仅允许组织账户登录）
    options.TenantId = "organizations";
    
    // 首次登录时强制触发管理员同意
    options.Events.OnRedirectToIdentityProvider = context =>
    {
        // 仅当未获取到所需令牌时，添加管理员同意提示
        if (context.Properties.Items.ContainsKey("prompt"))
        {
            context.ProtocolMessage.Prompt = context.Properties.Items["prompt"];
        }
        if (context.Properties.Items.ContainsKey("scope"))
        {
            context.ProtocolMessage.Scope = $"openid profile offline_access {context.Properties.Items["scope"]}";
        }
        return Task.CompletedTask;
    };
});

var app = builder.Build();

// 中间件配置
if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Home/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

app.Run();

2. 替换[AuthorizeForScopes]为手动作用域验证 #

在Home控制器中，手动检查令牌是否包含所有所需作用域，若缺失则触发一次性同意请求：

using Microsoft.Identity.Web;
using Microsoft.Identity.Client;

public class HomeController : Controller
{
    private readonly ILogger<HomeController> _logger;

    public HomeController(ILogger<HomeController> logger)
    {
        _logger = logger;
    }

    public async Task<IActionResult> Index()
    {
        var tokenAcquisition = HttpContext.RequestServices.GetRequiredService<ITokenAcquisition>();
        var requiredScopes = new[]
        {
            "https://graph.microsoft.com/User.Read",
            "https://management.core.windows.net/user_impersonation",
            "https://database.windows.net/user_impersonation"
        };

        try
        {
            // 尝试获取包含所有作用域的访问令牌
            await tokenAcquisition.GetAccessTokenForUserAsync(requiredScopes);
        }
        catch (MsalUiRequiredException)
        {
            // 触发管理员组织同意请求，一次性提交所有作用域
            return Challenge(new AuthenticationProperties
            {
                RedirectUri = Url.Action("Index"),
                Items =
                {
                    { "scope", string.Join(" ", requiredScopes) },
                    { "prompt", "admin_consent" }
                }
            });
        }

        return View();
    }

    public IActionResult Privacy()
    {
        return View();
    }

    [ResponseCache(Duration = 0, Location = ResponseCacheLocation.None, NoStore = true)]
    public IActionResult Error()
    {
        return View();
    }
}

3. Azure AD应用注册配置 #

确保在Azure AD应用注册中完成以下设置：

• 设置应用为多租户（支持任何Azure AD组织账户登录）
• 添加所需的三个委托权限，并将每个权限设置为需要管理员同意
• 配置正确的重定向URI（与appsettings.json中的RedirectUri一致）

4. 关键注意事项 #

• 移除所有控制器/Action上的[AuthorizeForScopes]属性，避免重复触发授权逻辑
• 确保appsettings.json中的ClientId、TenantId、RedirectUri配置正确
• 管理员首次登录完成同意后，后续普通用户登录会自动复用组织级同意，无需再次授权

内容的提问来源于stack exchange，提问作者dybzon