基于Azure AD的公/私URL Web API身份验证与重定向实现咨询

1. 私有URL请求拦截与授权跳转触发 #

当Web API收到私有URL的请求时，先检查请求中是否携带有效的Azure AD JWT令牌（通过Authorization头的Bearer令牌验证）：

• 若令牌不存在或验证失败，构造Azure AD授权端点的跳转URL，核心参数包括：
  • tenant：你的Azure AD租户ID
  • client_id：Web API在Azure AD中注册的应用ID
  • response_type：设为code（授权码模式）
  • redirect_uri：Web API中专门接收认证回调的端点（需提前在Azure AD应用注册的"重定向URI"中配置）
  • state：将目标私有URL做URL编码后存入该参数，同时建议加入随机校验值防止CSRF
  • scope：至少包含openid profile，需访问其他API资源可追加对应权限
• 把HTTP响应状态码设为302，Location头指向上述构造的授权URL，引导用户跳转至Azure AD登录页面。

2. 认证回调端点处理 #

Azure AD验证用户身份成功后，会将用户重定向至指定的redirect_uri端点，携带code（授权码）和之前传入的state参数：

1. 从state中解析出原始目标私有URL，同时校验随机校验值确保请求合法
2. 使用授权码code结合客户端密钥（或证书），向Azure AD令牌端点发起POST请求，换取access_token和id_token
3. 验证id_token有效性：检查签名、issuer、audience、过期时间等字段，确认用户属于企业域名范围
4. 验证通过后，可将access_token存入HTTP-only Cookie（后端渲染场景）或返回给前端（前后端分离场景），随后将用户重定向至目标私有URL

3. 私有URL的后续访问验证 #

用户重定向到目标私有URL后，后续请求需携带有效的access_token：

• Web API拦截请求，提取Authorization: Bearer <token>头或Cookie中的令牌
• 再次验证令牌有效性，无误后允许访问私有URL对应的资源

关键注意事项 #

• redirect_uri必须与Azure AD应用注册中配置的完全一致，否则认证会失败
• state参数务必加入防篡改机制，比如生成随机字符串并存入用户会话，回调时比对验证
• 令牌验证逻辑要严格遵循Azure AD规范，避免自定义验证引发安全漏洞

内容的提问来源于stack exchange，提问作者suresh reddy