采用AAD委托权限调用Graph API的后台服务，是否需持久化刷新令牌？

你的假设完全正确——要实现这种仅首次用户交互、后续后台自动维持Graph API访问能力的场景，必须持久化每个用户的刷新令牌。

核心原因 #

委托权限模式下，AAD颁发的访问令牌有效期通常只有1小时左右，无法满足后台服务长期调用Graph API的需求。而刷新令牌是唯一能在无需用户重新登录的前提下，获取新访问令牌的凭证。如果不持久化刷新令牌，一旦访问令牌过期，就必须引导用户再次通过UI登录授权，这直接违背了你“后续基本无需UI操作”的设计目标。

你提到的风险与复杂度确实存在 #

• 安全风险：刷新令牌相当于用户权限的“长期通行证”，如果存储或处理不当被泄露，攻击者可以冒充用户获取Graph API的访问权限。必须通过加密存储（比如用对称加密算法加密后存入数据库，密钥与存储介质分离管理）、配置AAD刷新令牌过期策略（如滚动过期、绝对过期）来降低风险。
• 系统复杂度：确实需要额外处理以下环节：
  • 安全的令牌存储方案，禁止明文存储
  • 后台定时刷新逻辑：提前检测访问令牌有效期，自动调用AAD令牌端点刷新，且注意AAD刷新后可能返回新的刷新令牌，需及时更新存储的凭证
  • 失败处理机制：当刷新令牌过期、失效或刷新请求失败时，必须触发通知（邮件、系统告警等），引导用户重新登录授权

有没有替代方案？ #

由于你明确无法使用应用权限，目前没有更优的替代方案——委托权限模式下，持久化刷新令牌是实现无后续用户交互的后台访问的唯一途径。

内容的提问来源于stack exchange，提问作者FabianTe