login.live.com OAuth2.0：如何获取及使用nonce？

核心原因：端点与令牌格式差异 #

login.live.com是微软旧版Live Connect的OAuth 2.0端点，它返回的access_token并非标准JWT格式，而是微软私有加密格式的令牌，本身就不包含nonce声明，自然无法通过JWT解析提取。而login.microsoftonline.com是Azure AD的端点，返回的是符合OIDC标准的JWT令牌，会在id_token（注意是id_token而非access_token）中携带nonce。

权限范围不是问题 #

你请求的XboxLive.signin和XboxLive.offline_access权限是Xbox认证所需的正确范围，和令牌是否包含nonce无关，不存在权限缺失的情况。

可行解决方法 #

方法1：切换到Azure AD端点完成Xbox认证 #

既然你参考的是MSAL Java示例，直接使用login.microsoftonline.com的Azure AD流程更适配MSAL的设计：

• 重定向到Azure AD的授权端点时携带nonce，获取授权码后，请求token时会返回包含nonce的id_token（JWT格式），直接解析验证即可。
• 该流程完全兼容Xbox用户身份认证，只需确保应用在Azure AD中配置了Xbox相关的权限。

方法2：保留login.live.com端点，改用服务器端关联验证 #

如果必须使用login.live.com，无法从令牌中提取nonce，可通过以下方式实现nonce的验证逻辑：

• 生成nonce后，将其与用户的授权码（或会话ID）关联存储在服务器端（比如Redis缓存、用户session）。
• 拿到授权码并换取access_token后，从服务器存储中取出对应的nonce，完成验证逻辑。

内容的提问来源于stack exchange，提问作者Adrien1106