如何通过Azure AD调用第三方OAuth2授权码流API

完全可以实现，不需要自己重复开发鉴权逻辑造轮子，MSAL配合Azure AD的联邦身份配置能力可以直接覆盖通过授权码流调用第三方OAuth2 API的需求。

• 第一步：完成Azure AD侧的联邦身份配置
  内部业务系统用普通Azure AD租户即可，面向外部用户的场景优先用Azure AD B2C租户，在租户配置里找到「身份提供者」选项，选择添加通用OAuth2身份提供者，按提示填入第三方提供的授权端点、Token端点、客户端ID、客户端密钥、所需权限scope、声明映射规则即可。配置完成后Azure AD会自动承接和第三方OAuth2服务的授权码交换、令牌校验逻辑，你不需要手写任何OAuth2底层参数拼接、请求发送的代码。
• 第二步：.NET项目按标准方式集成MSAL
  代码层和你之前对接Azure AD自有资源的写法几乎没有区别，初始化IPublicClientApplication（公共客户端，比如前端、桌面端应用）或者IConfidentialClientApplication（机密客户端，比如服务端、Web API）实例时，按常规配置租户ID、客户端ID、重定向地址即可。用户触发授权时MSAL会自动跳转到第三方授权页面，走完授权码流程后自动把返回的令牌存入内置缓存，MSAL自带的令牌缓存、静默刷新、过期自动续期能力全部正常生效。
• 第三步：调用第三方API时直接从MSAL取令牌
  需要调用第三方接口时，直接调用MSAL的AcquireTokenSilent方法，传入第三方API对应的scope值，拿到有效访问令牌后塞到请求的Authorization头里即可，不需要自己处理令牌过期、刷新失败的重试逻辑。

• 只要第三方OAuth2服务的授权码流符合RFC6749标准规范，Azure AD联邦配置都可以直接对接，不需要做定制开发。
• 如果第三方授权流程要求传递自定义参数，直接在MSAL发起授权请求时通过ExtraQueryParameters字段传入键值对即可，不需要修改底层鉴权逻辑。
• 不要在代码里硬编码第三方OAuth2的授权、Token地址自行实现流程，所有对接配置全部放到Azure AD侧完成，后续如果更换第三方身份提供者只需要修改Azure AD配置，业务代码不需要调整。
• 如果第三方接口需要校验ID令牌，MSAL在授权完成后会自动把对应ID令牌存入缓存，直接读取使用即可，不需要自行实现令牌签名校验、过期校验逻辑。

内容的提问来源于stack exchange，提问作者Rico