无需注册应用，使用Microsoft实现Node.js用户身份认证

所有通过Microsoft账号（含工作/学校账号）实现用户登录的应用，必须在Azure AD（或Microsoft Entra ID）中完成应用注册，不存在完全无需注册就能发起授权的情况。

你遇到的“未注册”应用的真实场景 #

你碰到的那些能让工作MS账号登录、甚至请求日历权限的应用，本质是以下两种情况：

• 多租户应用注册：开发者在自己的Azure租户里注册应用时，选择了“任何组织目录中的账户”或“任何组织目录中的账户+个人Microsoft账户”的账户类型。这类应用允许其他企业的AD用户登录，不需要在你的公司Azure环境内单独注册，看起来像是“未注册”，但实际已有全局注册凭证。
• 第三方平台预注册：部分低代码/无代码平台、第三方登录工具已经预先完成了全局应用注册，开发者只需在平台内配置权限，无需自己去Azure手动操作，最终调用的是平台已注册的应用ID。

你的Node.js应用实现方案（仅获取邮箱、姓名） #

要实现仅读取用户基础信息的Microsoft登录，步骤如下：

1. 注册Azure应用：
   • 选择对应账户范围（仅公司用户选“仅此组织目录中的账户”，允许外部用户选“任何组织目录中的账户”）
   • 配置重定向URI（比如你的Node.js应用回调地址：http://localhost:3000/auth/microsoft/callback）
2. 使用官方SDK简化开发：用@azure/msal-node SDK封装OAuth2.0和OpenID Connect流程，避免手动处理授权细节
3. 申请最小权限：仅请求User.Read权限（默认允许读取用户姓名、邮箱等基础信息，无需额外Graph API权限）
4. 核心代码示例：

   const msal = require('@azure/msal-node');
   
   // 应用配置（来自Azure应用注册页面）
   const config = {
       auth: {
           clientId: '你的应用注册ID',
           authority: 'https://login.microsoftonline.com/common', // 多租户用common，单租户替换为你的租户ID
           clientSecret: '你的应用客户端密钥'
       }
   };
   
   const cca = new msal.ConfidentialClientApplication(config);
   
   // 生成登录跳转URL
   async function generateLoginUrl() {
       const authParams = {
           scopes: ['User.Read'],
           redirectUri: 'http://localhost:3000/auth/microsoft/callback'
       };
       return await cca.getAuthCodeUrl(authParams);
   }
   
   // 处理登录回调，获取用户信息
   async function handleLoginCallback(req) {
       const tokenParams = {
           code: req.query.code,
           scopes: ['User.Read'],
           redirectUri: 'http://localhost:3000/auth/microsoft/callback'
       };
       const response = await cca.acquireTokenByCode(tokenParams);
       // response.account 包含用户姓名、邮箱等基础数据
       return response.account;
   }
   

关键提醒 #

• 应用注册是获取clientId和clientSecret的唯一合法途径，这两个凭证是Microsoft身份认证的核心标识，没有它们无法完成授权流程
• User.Read属于委派权限，工作/学校账号用户登录时通常会自动授权（管理员可设置审批规则，但基础信息权限一般默认允许）
• 不要尝试跳过应用注册，这违反Microsoft身份认证规范，也无法通过合法流程获取用户数据

内容的提问来源于stack exchange，提问作者knightscode