如何在开启MFA时通过API验证Azure Directory用户有效性

原有方法失效原因 #

你使用的ROPC（Resource Owner Password Credentials）授权流（即通过/token接口传入用户名密码的方式）本身不支持开启MFA的用户。当用户启用MFA后，该流会返回invalid_grant错误，无法完成验证。

可行解决方案 #

1. 授权码流（适合带UI的应用） #

这种方式需要引导用户跳转到Azure AD登录页面，完成密码输入和MFA验证后，应用通过授权码兑换令牌，以此验证用户有效性：

• 第一步：构造授权请求，引导用户访问登录地址：

  https://login.microsoftonline.com/{tenantID}/oauth2/v2.0/authorize?
  client_id={client_id}
  &response_type=code
  &redirect_uri={redirect_uri}
  &scope=openid profile offline_access
  &state={随机字符串}
  

• 第二步：用户完成登录和MFA后，会跳转到你指定的redirect_uri，并携带code参数。
• 第三步：调用/token接口兑换令牌，请求体包含：

  client_id={client_id}
  &client_secret={client_secret}
  &code={授权码}
  &redirect_uri={redirect_uri}
  &grant_type=authorization_code
  

  兑换成功则说明用户有效；若返回错误（如密码错误、MFA未通过、账号禁用等），则对应判断用户验证失败。

2. 设备代码流（适合无UI的后端/CLI应用） #

如果应用没有前端UI，无法引导用户跳转登录，可采用设备代码流：

• 第一步：调用/devicecode接口获取验证信息：

  POST https://login.microsoftonline.com/{tenantID}/oauth2/v2.0/devicecode
  Content-Type: application/x-www-form-urlencoded
  
  client_id={client_id}
  &scope=openid profile offline_access
  

  返回结果包含user_code（用户需要输入的验证码）、verification_uri（用户验证地址）、device_code（用于轮询的设备码）。
• 第二步：提示用户访问verification_uri，输入user_code并完成MFA验证。
• 第三步：轮询调用/token接口等待验证结果：

  POST https://login.microsoftonline.com/{tenantID}/oauth2/v2.0/token
  Content-Type: application/x-www-form-urlencoded
  
  client_id={client_id}
  &client_secret={client_secret}
  &device_code={device_code}
  &grant_type=urn:ietf:params:oauth:grant-type:device_code
  

  轮询成功返回令牌则用户有效；返回错误则对应判断验证失败。

3. 仅验证账号状态（无需凭证验证） #

如果只需要确认用户账号是否存在、是否启用、是否锁定等状态，不需要验证密码和MFA，可调用Microsoft Graph的用户查询API：

• 调用GET https://graph.microsoft.com/v1.0/users/{userPrincipalName}（需应用拥有User.Read.All或User.ReadBasic.All权限）
• 返回的用户对象中，accountEnabled字段表示账号是否启用，accountLockedDateTime字段表示账号是否锁定，以此判断账号有效性。但这种方式无法验证用户的密码和MFA状态。

注意事项 #

• 所有支持MFA的验证流程都需要用户主动参与完成MFA步骤，这是MFA设计的核心逻辑，防止无交互的凭证验证。
• 需确保你的Azure AD应用已在注册后台启用对应授权流（授权码流、设备代码流需手动开启）。

内容的提问来源于stack exchange，提问作者Mr. Mohan Raj