.NET Core 3.1 Web应用XUnit集成测试Azure AD JWT令牌方案咨询

好问题！针对基于.NET Core 3.1 + Azure AD身份验证的Web应用集成测试，直接向Azure AD发送POST请求获取令牌是可行的，但还有更优雅、符合官方最佳实践的方案，我结合实际经验给你拆解两种方式：

这种方式适合简单的测试场景，不需要引入额外库，直接通过HttpClient调用Azure AD的令牌端点：

• 首先准备好测试用的Azure AD配置：租户ID、客户端ID、测试用户名/密码（注意用无MFA的测试账号，否则ROPC密码流会失败）
• 构造POST请求到Azure AD的v2.0令牌端点：https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/token
• 请求参数要包含：
  • grant_type=password（指定用ROPC密码流）
  • username=测试用户邮箱
  • password=测试用户密码
  • client_id=你的应用注册ID
  • scope=api://{你的应用ID URI}/.default openid（根据你的实际API范围调整）

示例代码大概是这样：

var httpClient = new HttpClient();
var tokenRequest = new FormUrlEncodedContent(new Dictionary<string, string>
{
    ["grant_type"] = "password",
    ["username"] = "test-user@your-tenant.onmicrosoft.com",
    ["password"] = "TestPass123!",
    ["client_id"] = "your-client-id",
    ["scope"] = "api://your-app-uri/.default"
});

var response = await httpClient.PostAsync("https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/token", tokenRequest);
var tokenContent = await response.Content.ReadFromJsonAsync<TokenResponse>(); // 自行定义TokenResponse类包含access_token字段

// 之后在测试请求中添加令牌
var testClient = new HttpClient();
testClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", tokenContent.AccessToken);
// 调用你的控制器接口
var apiResponse = await testClient.GetAsync("https://your-test-app/api/protected-endpoint");

手动写POST容易出错，比如处理令牌过期、参数格式问题，官方推荐用**Microsoft身份验证库（MSAL）**来处理，它会自动管理令牌缓存、刷新逻辑：

• 先给测试项目安装NuGet包：Microsoft.Identity.Client
• 用MSAL的PublicClientApplication来构造客户端，调用AcquireTokenByUsernamePassword方法获取令牌

示例代码：

var pca = PublicClientApplicationBuilder
    .Create("your-client-id")
    .WithAuthority(AzureCloudInstance.AzurePublic, "your-tenant-id")
    .Build();

var scopes = new[] { "api://your-app-uri/.default" };
var result = await pca.AcquireTokenByUsernamePassword(scopes, "test-user@your-tenant.onmicrosoft.com", "TestPass123!")
    .ExecuteAsync();

// 同样添加到测试请求头
var testClient = new HttpClient();
testClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", result.AccessToken);

• 绝对不要用生产环境的用户/应用信息做测试，在Azure AD中创建专门的测试租户/测试用户/测试应用注册，避免污染生产数据
• 把配置信息（租户ID、客户端ID等）放在测试项目的appsettings.json里，用IConfiguration读取，不要硬编码
• 如果用WebApplicationFactory做集成测试，可以在工厂初始化时统一获取令牌，然后给所有测试客户端自动添加授权头，减少重复代码
• 如果测试用户启用了MFA，ROPC流会失效，这种情况可以考虑用客户端凭证流（适合测试后台接口），或者在测试环境临时关闭MFA

内容的提问来源于stack exchange，提问作者Olof84