FastAPI集成Microsoft Identity Platform授权流程问题求助

1. 能否在Swagger中实现跳转？ #

可以实现，但不能用你当前的方式。你现在的代码是后端请求微软授权端点并返回HTML内容，Swagger会把这段HTML渲染在页面内，不会触发浏览器跳转。正确的做法是让FastAPI接口返回重定向响应，直接引导用户的浏览器跳转到微软的授权页面：

修改你的接口代码如下：

from fastapi import APIRouter
from fastapi.responses import RedirectResponse
import urllib.parse

router = APIRouter()

@router.get("/code")
def get_user_code():
    auth_url = "https://login.microsoftonline.com/organizations/oauth2/v2.0/authorize"
    params = {
        "client_id": "your-client-id",
        "response_type": "code",
        "redirect_uri": "http://localhost:4200",  # 要和Azure AD配置的一致
        "response_mode": "query",
        "scope": "offline_access user.read mail.read",  # 无需手动URL编码，urllib会自动处理
        "state": "your-random-state"  # 建议用随机值，用于CSRF验证
    }
    # 拼接完整授权URL
    encoded_params = urllib.parse.urlencode(params)
    full_auth_url = f"{auth_url}?{encoded_params}"
    # 返回重定向响应
    return RedirectResponse(url=full_auth_url)

在Swagger中调用这个接口时，浏览器会触发跳转（部分场景下Swagger会在iframe内跳转，你可以右键接口选择「Open in new tab」直接在浏览器中打开，体验更顺畅）。

2. FastAPI中获取授权码的最优方案 #

遵循OAuth2授权码流程的标准模式，分为两步完成：引导用户授权、处理回调兑换令牌：

步骤1：引导用户跳转到微软授权页面 #

使用上面的RedirectResponse方案，让用户浏览器直接与微软授权服务器交互，这是符合OAuth2流程的正确方式，避免后端代请求导致的会话一致性问题。

步骤2：处理微软的回调请求 #

微软验证用户身份后，会将授权码通过重定向发送到你配置的redirect_uri，你需要在FastAPI中创建对应的回调接口接收授权码，并兑换成访问令牌：

import requests
from fastapi import APIRouter, Query

router = APIRouter()

@router.get("/callback")
def auth_callback(code: str = Query(...), state: str = Query(...)):
    # 先验证state，确保和之前发送的一致（防止CSRF攻击）
    # 此处省略state验证逻辑，建议将state存入用户session后再对比
    
    # 兑换访问令牌
    token_url = "https://login.microsoftonline.com/organizations/oauth2/v2.0/token"
    payload = {
        "client_id": "your-client-id",
        "client_secret": "your-client-secret",  # 建议用环境变量存储，禁止硬编码
        "code": code,
        "redirect_uri": "http://localhost:4200",
        "grant_type": "authorization_code"
    }
    response = requests.post(token_url, data=payload)
    token_data = response.json()
    
    # 此处可处理令牌，比如存入数据库或返回给前端
    return token_data

关键注意事项 #

• redirect_uri必须和Azure AD应用注册中配置的重定向URI完全一致，否则微软会拒绝请求。
• state参数必须使用随机值，并在回调时验证，防止跨站请求伪造攻击。
• 敏感信息（client_id、client_secret）不要硬编码在代码中，使用环境变量（比如python-dotenv）管理。
• 如果是前后端分离应用，redirect_uri可设置为前端地址，前端拿到code后再调用FastAPI的令牌兑换接口（需提前配置CORS）。

内容的提问来源于stack exchange，提问作者ldisalvo