MSAL for iOS：企业SSO场景下idToken刷新失败及权限配置疑问

看起来你在iOS上用MSAL实现企业SSO时，卡在了idToken静默刷新的环节，还因为添加offline_access scope触发了登录报错-50000，我来帮你逐一梳理问题点和解决办法：

一、为什么静默刷新拿到的是过期idToken？ #

你当前的代码里有个关键遗漏：请求idToken必须包含openid scope。

idToken是OpenID Connect协议的产物，只有在请求中包含openid scope时，Azure AD才会返回标准的idToken，并且在后续静默刷新时，才会生成新的idToken。你现在的登录和静默刷新都只请求了user.read，虽然MSAL可能在登录时“额外”返回了idToken，但这不是标准行为；静默刷新时因为没有openid scope，MSAL不会触发idToken的更新，只会返回缓存中已过期的旧idToken。

二、添加offline_access后登录报错-50000的原因 #

MSALErrorDomain -50000通常是invalid_scope或配置不兼容导致的，常见两个原因：

1. 公共客户端权限限制：iOS应用属于MSAL中的“公共客户端”（无法安全存储client secret），需要在Azure AD应用注册中启用「允许公共客户端流」，否则无法请求offline_access权限。
2. 权限未正确授权：offline_access是委托权限，需要在应用注册中添加该权限，并且如果是企业租户应用，还需要租户管理员完成“授予管理员同意”操作。

三、正确的Scope与权限配置步骤 #

1. Azure AD应用注册端配置 #

• 添加必要的API权限：
  进入「API权限」→「添加权限」→选择「Microsoft Graph」→「委托权限」，添加以下3个权限：
  • openid（必须，用于获取/刷新idToken）
  • user.read（你的业务需要）
  • offline_access（必须，用于获取刷新令牌，支持长期静默刷新）
    若为企业租户应用，记得点击「授予管理员同意」（需要租户管理员权限）
• 配置移动平台：
  进入「身份验证」→「添加平台」→选择「移动和桌面应用」，添加默认的redirect URI：msauth.<你的Bundle ID>://auth（比如msauth.com.yourcompany.yourapp://auth）
• 启用公共客户端流：
  在「身份验证」页面的「高级设置」中，将「允许公共客户端流」设为「是」

2. iOS客户端代码修复 #

登录函数（signIn）：更新scopes

将交互登录的scopes修改为包含openid和offline_access，确保登录时同时获取idToken、accessToken和刷新令牌：

func signIn(completion: @escaping (Result<MSALResult, Error>) -> Void) {
    guard let applicationContext = applicationContext else { return }
    guard let rootVC = UIApplication.shared.windows.first?.rootViewController else {
        completion(.failure(NSError(domain: "MSAL", code: -2, userInfo: [NSLocalizedDescriptionKey: "No rootViewController"])))
        return
    }
    
    let webViewParameters = MSALWebviewParameters(authPresentationViewController: rootVC)
    // 新增openid和offline_access scope
    let parameters = MSALInteractiveTokenParameters(scopes: ["openid", "user.read", "offline_access"], webviewParameters: webViewParameters)
    
    applicationContext.acquireToken(with: parameters) { result, error in
        if let error = error {
            completion(.failure(error))
            return
        }
        guard let result = result else {
            completion(.failure(NSError(domain: "MSAL", code: -1, userInfo: [NSLocalizedDescriptionKey: "No result"])))
            return
        }
        
        self.isLoggedWithMSAL = true
        if let identifier = result.account.identifier {
            CommonService.setMSALAccountIdentifier(identifier: identifier)
        }
        completion(.success(result))
    }
}

静默刷新函数（getMSALAuthToken）：优化逻辑

静默刷新时，只需要请求openid和user.read（无需重复请求offline_access），并从刷新结果中获取最新的idToken：

func getMSALAuthToken(completion: @escaping (String?) -> Void) {
    guard let applicationContext = applicationContext else {
        SGuardLog.e("MSAL context is not initialized")
        completion(nil)
        return
    }

    let parameters = MSALParameters()
    parameters.completionBlockQueue = DispatchQueue.main

    applicationContext.getCurrentAccount(with: parameters) { currentAccount, _, error in
        if let error = error {
            SGuardLog.e("Failed to get accounts: \(error)")
            completion(nil)
            return
        }

        guard let currentAccount = currentAccount, 
              currentAccount.identifier == CommonService.getMSALAccountIdentifier() else {
            SGuardLog.e("No matching account found")
            completion(nil)
            return
        }

        // 包含openid确保刷新时返回新的idToken
        let silentParams = MSALSilentTokenParameters(scopes: ["openid", "user.read"], account: currentAccount)
        // 可选：仅在确定缓存过期时使用，强制绕开缓存请求新token
        // silentParams.forceRefresh = true

        applicationContext.acquireTokenSilent(with: silentParams) { result, error in
            if let result = result {
                // 这里的idToken是伴随accessToken刷新生成的最新值
                completion(result.idToken)
            } else {
                let errorMsg = error?.localizedDescription ?? "Unknown error"
                SGuardLog.e("Silent token refresh failed: \(errorMsg)")
                // 若静默刷新需要用户交互（如MFA、密码过期），可在此触发交互式登录
                completion(nil)
            }
        }
    }
}

四、额外优化建议 #

1. 不要单独依赖idToken调用API：通常API授权应该使用accessToken，idToken仅用于验证用户身份（比如前端登录状态）。如果你的API当前仅接受idToken，建议改为同时支持accessToken，更符合MSAL的设计逻辑。
2. 主动处理token过期：可以通过result.idTokenClaims获取idToken的过期时间（exp字段），提前5分钟触发静默刷新，而不是等到API报错后再处理。
3. 交互错误处理：当静默刷新返回MSALErrorInteractionRequired错误时，说明需要用户交互（如MFA验证、密码重置），此时应触发交互式登录流程。

内容来源于stack exchange