Angular 14集成Azure AD B2C登录后令牌长期未过期问题求助

以下是几个关键排查方向，按优先级梳理：

• 确认静默刷新机制的影响
  Angular集成的MSAL库（@azure/msal-angular）默认会用refresh token自动静默刷新access token/ID token，这个过程用户完全无感知，不会跳转到登录页。Azure AD B2C用户流的refresh token默认有效期为14天，且滑动窗口有效期同样是14天——只要在14天内有token刷新操作，refresh token的有效期就会自动延长。你14小时后无需重新登录，大概率是因为refresh token仍在有效期内，应用后台完成了静默刷新。

  可以用浏览器开发者工具验证：打开Application面板，查看localStorage（若MSAL配置的cacheLocation为localStorage）里的msal.idtoken和msal.accesstoken，解码这些令牌（用jwt.io或浏览器插件均可），查看exp字段对应的过期时间，确认access token是否确实每60分钟刷新一次。

• 检查用户流的refresh token配置
  登录Azure门户进入你的B2C租户，找到对应用户流：

  1. 进入用户流的Properties（属性）页面
  2. 查看Refresh token lifetime和Refresh token sliding window lifetime的设置。如果滑动窗口设为14天，每次用refresh token刷新都会重置有效期，导致用户长时间无需重新登录。
  3. 同时确认Access token lifetime确实是60分钟，且未被自定义策略覆盖（若使用了自定义策略）。

• 检查Angular应用的MSAL配置
  打开项目中的MSAL配置文件（通常是app.module.ts或专门的配置文件）：

  • 确认cacheLocation设置：若为localStorage，令牌会持久化存储在本地，关闭浏览器再打开仍会保留；若为sessionStorage，关闭浏览器后令牌会被清除，下次打开需重新登录。
  • 查看tokenRenewalOffsetSeconds：默认是300秒（5分钟），MSAL会在令牌过期前5分钟自动发起静默刷新，确保用户不会遇到令牌过期的情况。
  • 若希望用户在令牌过期后必须重新登录，可尝试禁用静默刷新（不推荐，会影响用户体验），或调整refresh token的有效期和滑动窗口设置。

• 验证是否存在持久化登录Cookie
  Azure AD B2C登录页默认会设置持久化会话Cookie（x-ms-cpim-sso），即便应用令牌被清除，只要这个Cookie存在，用户跳转回登录页会自动完成登录。可在浏览器开发者工具的Application面板→Cookies→对应B2C域名下查看该Cookie的有效期。若不需要持久化登录，可在用户流的Properties中开启Single sign-on session management的Enforce logout设置，或在MSAL配置中设置prompt: 'login'强制每次登录，但这会影响用户体验。

内容的提问来源于stack exchange，提问作者Mukil Deepthi