Teams应用SSO集成：调用acquireTokenOnBehalfOf遇CORS问题求助

问题根源 #

你遇到的CORS错误核心原因是：acquireTokenOnBehalfOf是后端专属的令牌交换方法，不能直接在前端（Teams Tab的浏览器端代码）中调用。Azure AD的login.microsoftonline.com/token端点出于安全考虑，不会为前端域名配置CORS允许规则，所以前端直接发起请求必然被浏览器拦截。

正确的流程调整方案 #

必须通过后端服务中转令牌交换，步骤如下：

1. 前端（Teams Tab）通过Teams的SSO机制获取初始令牌（通常是ID Token或针对你的后端API的Access Token）
2. 前端将这个令牌发送到你自己的后端API接口
3. 后端服务中使用MSAL调用acquireTokenOnBehalfOf，向Azure AD请求Graph API的访问令牌——后端属于服务器到服务器的请求，不受浏览器CORS策略限制

必要的配置检查 #

除了你已完成的「Expose API添加域名」，还需确认：

• 后端应用注册：已添加所需的Graph API委托权限（如User.Read等），若为租户级权限需完成管理员同意
• 前端应用注册：已添加访问后端API的权限（在API权限中添加你后端应用注册暴露的API范围）
• 后端CORS配置：如果前端和后端域名不同（包括本地开发的localhost端口差异），需在后端服务中配置允许前端域名的CORS规则（这是你自己服务的配置，和Azure AD无关）

本地开发注意事项 #

• 确保Teams允许本地调试（可通过Teams Toolkit工具或手动sideload应用包）
• 后端服务的CORS配置需包含前端的http://localhost:xxx域名（xxx为前端运行的端口）

内容的提问来源于stack exchange，提问作者Naina