ASP.NET Core MVC应用能否在Axios请求中获取新Azure AD令牌？

核心原因 #

AuthorizeForScope 特性是为传统MVC整页重定向场景设计的——当令牌失效/缺失时，它会触发OpenID Connect的授权挑战流程，返回302重定向到身份提供商。但在Vue这类SPA的Axios AJAX请求场景下，浏览器不会自动处理这个302，而是直接把重定向响应返回给前端，导致体验问题。

能否后端静默获取新令牌？ #

不行。委托权限的访问令牌获取依赖用户的浏览器上下文（比如需要刷新令牌、增量授权同意或条件访问验证时），后端服务器没有用户的交互会话，无法完成OAuth2授权码流程的交互环节，必须由前端触发用户侧的授权操作。

最优处理方案 #

方案1：前端拦截302并转换为401处理 #

在Axios中添加响应拦截器，捕获302状态码，手动转换为401错误，然后引导用户触发授权流程：

axios.interceptors.response.use(
  response => response,
  error => {
    if (error.response?.status === 302) {
      return Promise.reject({
        response: {
          status: 401,
          data: { message: "令牌失效，请重新授权" }
        }
      });
    }
    return Promise.reject(error);
  }
);

前端捕获401后，可先尝试用MSAL.js的acquireTokenSilent静默刷新令牌，失败再跳转至登录页触发授权挑战，尽量减少用户感知。

方案2：后端主动检查令牌有效性，提前返回401 #

避免依赖AuthorizeForScope的自动重定向，在控制器方法开头主动验证令牌状态：

public async Task<IActionResult> YourControllerAction()
{
    try
    {
        // 调用轻量Graph接口验证令牌有效性
        var user = await _graphServiceClient.Me.GetAsync();
    }
    catch (ServiceException ex) when (ex.StatusCode == System.Net.HttpStatusCode.Unauthorized)
    {
        return Unauthorized(new { message = "令牌已失效，请重新登录" });
    }

    // 后续业务逻辑
    // ...
}

或者使用Microsoft Identity Web的API直接检查令牌缓存：

var tokenAcquisition = HttpContext.RequestServices.GetRequiredService<ITokenAcquisition>();
try
{
    await tokenAcquisition.GetAccessTokenForUserAsync(new[] { "你的权限范围" });
}
catch (MsalUiRequiredException)
{
    return Unauthorized();
}

这种方式让后端提前返回401，前端可以直接处理，避免302的问题。

额外建议 #

1. 前端用MSAL.js维护本地令牌缓存，在发起后端请求前先确保令牌有效，减少后端触发令牌失效的情况。
2. 后端配置JWT令牌验证，在进入控制器方法前就完成令牌的有效性校验，提前拦截无效请求。

内容的提问来源于stack exchange，提问作者Qiuzman