Azure AD B2C服务间认证：无法通过MSAL自动获取令牌问题

错误原因 #

你调用的GetAccessTokenForUserAsync是用户上下文场景的API，仅适用于用户登录后获取令牌调用下游API的场景。但服务间认证采用的是客户端凭证流，不存在用户账号上下文，因此会抛出No account or login hint was passed to the call错误。

正确实现步骤 #

1. 修改服务注册代码 #

替换原有的AddMicrosoftIdentityWebAppAuthentication配置，改用适配无用户服务间场景的配置：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(builder.Configuration, Constants.AzureAdB2C);

// 添加客户端凭证流的令牌获取服务
builder.Services.AddTokenAcquisition()
    .AddInMemoryTokenCaches();

或者直接针对客户端凭证流做简化配置：

builder.Services.AddHttpClient();

builder.Services.AddMicrosoftIdentityWebApiAuthentication(builder.Configuration, Constants.AzureAdB2C)
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddInMemoryTokenCaches()
    .AddClientCredentials();

2. 使用正确的令牌获取方法 #

调用GetAccessTokenForAppAsync而非用户相关方法——客户端凭证流是应用身份直接认证，无需依赖用户上下文：

// 注入ITokenAcquisition服务
private readonly ITokenAcquisition _tokenAcquisition;

public YourService(ITokenAcquisition tokenAcquisition)
{
    _tokenAcquisition = tokenAcquisition;
}

public async Task<string> GetServiceAccessTokenAsync()
{
    var scopes = new[] { builder.Configuration["MyScope"] };
    // 客户端凭证流专属的令牌获取方法
    string accessToken = await _tokenAcquisition.GetAccessTokenForAppAsync(scopes);
    return accessToken;
}

3. 确保配置文件参数正确 #

appsettings.json中的Azure AD B2C配置需包含客户端密钥等核心信息，示例如下：

{
  "AzureAdB2C": {
    "Instance": "https://你的租户名.b2clogin.com/",
    "Domain": "你的租户名.onmicrosoft.com",
    "TenantId": "你的租户ID",
    "ClientId": "你的客户端ID",
    "ClientSecret": "你的客户端密钥"
  },
  "MyScope": "https://你的租户名.onmicrosoft.com/你的API标识/.default"
}

核心场景差异 #

• 用户上下文流：需要用户登录触发认证，使用GetAccessTokenForUserAsync，适用于前端调用后端API的场景。
• 客户端凭证流：无用户参与，由应用直接完成身份认证，使用GetAccessTokenForAppAsync，适用于服务间后台调用场景。

内容的提问来源于stack exchange，提问作者fox112358