如何通过MSAL库在Azure AD客户端应用中限制特定角色用户登录

当然可以直接在Azure AD中配置，无需额外调用Graph API做角色判断，具体操作如下：

• 登录Azure门户，找到你的应用对应的企业应用（可通过应用注册页面的"查看企业应用"入口进入，或直接搜索"企业应用"）
• 在企业应用的属性页面，将"用户分配需要"设置为"是"，这会开启仅被分配的用户/角色可访问应用的限制
• 切换到用户和组选项卡，点击"添加用户/组"，在弹出的选择界面中切换到"角色"标签，选中你允许登录的特定Azure AD角色（比如内置的全局管理员、或你自定义的角色），完成分配
• 你的Vue应用使用MSAL认证时，无需额外配置，Azure AD会自动拦截未被分配该角色的用户，直接拒绝其登录请求

如果你的应用使用的是自定义应用角色（而非Azure AD的目录角色），需要先在应用注册的应用角色页面定义好所需角色，再回到企业应用的用户分配环节，给用户/组分配对应的应用角色，同样能实现仅允许特定角色用户登录的效果

这种方式的好处是把权限拦截逻辑交给Azure AD处理，无需在前端编写额外的角色校验代码，安全性和效率都更高。

内容的提问来源于stack exchange，提问作者Lev Kostychenko