如何在C#中借助有效Access Token通过MSAL获取新令牌

我们有一个基于.NET的REST API服务，需要在当前Access Token过期前，借助它获取新的令牌。找到的MSAL获取令牌示例都需要用户输入密码，但服务没有UI，必须静默获取。目前持有有效的Access Token，想知道能不能用它来获取新令牌，本人是C#新手。

尝试了以下代码片段，但它并未利用当前有效的Access Token来获取新令牌：

var publicClientApplication = PublicClientApplicationBuilder.Create(ClientId)
                 .WithAuthority(AzureCloudInstance.AzurePublic, TenantId).Build();
var accounts = publicClientApplication.GetAccountsAsync().GetAwaiter().GetResult();
var result = publicClientApplication
                 .AcquireTokenSilent(scopes, accounts.FirstOrDefault())
                 .ExecuteAsync().GetAwaiter().GetResult();

解决方案 #

1. 现有代码的问题 #

你用的AcquireTokenSilent是从MSAL本地缓存中查找可用令牌或刷新令牌，不会直接使用你手里的Access Token。因为Access Token本身无法直接换发新的Access Token，真正支持静默刷新的是Refresh Token——如果之前获取Access Token时返回了Refresh Token，MSAL会自动缓存并用来刷新。

2. 正确的静默刷新实现 #

后台无UI服务更适合用机密客户端应用（ConfidentialClientApplication），而非公共客户端（PublicClientApplication），因为后台服务属于可信的机密场景。

场景A：已有Refresh Token的情况

如果之前获取Access Token时拿到了Refresh Token，可将其存入MSAL缓存，之后就能静默刷新：

// 初始化机密客户端
var confidentialClient = ConfidentialClientApplicationBuilder
    .Create(ClientId)
    .WithAuthority(AzureCloudInstance.AzurePublic, TenantId)
    .WithClientSecret(ClientSecret) // 生产环境推荐用证书替代密钥
    .Build();

// 将现有Refresh Token存入MSAL缓存
var refreshToken = "你的现有Refresh Token";
var account = confidentialClient.GetAccountsAsync().Result.FirstOrDefault() ?? 
    new Microsoft.Identity.Client.AccountId("用户对象ID", "租户ID", "用户名");
var tokenCacheItem = new TokenCacheItem
{
    RefreshToken = refreshToken,
    ClientId = ClientId,
    TenantId = TenantId,
    Account = account,
    Scopes = new List<string> { "你的API权限范围" }
};
confidentialClient.UserTokenCache.DangerousAddItem(tokenCacheItem);

// 静默获取新令牌
var result = confidentialClient
    .AcquireTokenSilent(new[] { "你的API权限范围" }, account)
    .ExecuteAsync().Result;

场景B：只有Access Token，无Refresh Token

这种情况无法用现有Access Token直接刷新，需通过后台认证流程重新获取：

• 客户端凭据流（推荐）：适用于服务对服务调用，无需用户上下文，直接用应用身份获取令牌：

var confidentialClient = ConfidentialClientApplicationBuilder
    .Create(ClientId)
    .WithAuthority(AzureCloudInstance.AzurePublic, TenantId)
    .WithClientSecret(ClientSecret)
    .Build();

var result = confidentialClient
    .AcquireTokenForClient(new[] { "你的API权限范围" })
    .ExecuteAsync().Result;

• 用户名密码流（不推荐）：仅在必须模拟特定用户时使用，安全性较低，不适合生产环境：

var publicClient = PublicClientApplicationBuilder
    .Create(ClientId)
    .WithAuthority(AzureCloudInstance.AzurePublic, TenantId)
    .Build();

var result = publicClient
    .AcquireTokenByUsernamePassword(new[] { "你的API权限范围" }, "用户名", "密码")
    .ExecuteAsync().Result;

3. 关键注意事项 #

• 后台服务优先使用机密客户端应用，公共客户端适用于桌面/移动APP等有用户交互的场景。
• 客户端凭据流不需要用户上下文，是纯服务调用的最优选择；需模拟用户时再考虑刷新令牌或用户名密码流。
• 生产环境禁止硬编码客户端密钥，建议用Azure Key Vault等安全存储方案。
• 确保Azure AD应用注册中配置了对应权限（应用权限对应客户端凭据流，委派权限对应用户上下文相关流）。

内容的提问来源于stack exchange，提问作者vengo