使用WAM/MSAL获取的Azure令牌认证自定义API异常排查

问题根因 #

你遇到的问题不是API配置错误，也不是WAM不支持自定义API令牌获取，核心是WAM的令牌请求逻辑和普通MSAL交互流存在差异，同时你的应用注册和客户端代码缺少WAM所需的必要配置。

对应疑问的明确答复 #

• 你的WAM调用代码存在配置缺失，并非逻辑完全错误。
• WAM完全支持获取自定义API的访问令牌，你要实现的使用系统当前登录账户无交互认证的场景属于WAM的标准支持范围。
• API端的身份认证配置没有问题，普通交互流获取的令牌能通过验证已经可以证明这点，问题出在客户端配置和令牌请求逻辑上。

具体修复步骤 #

1. 先补全Azure AD应用注册的WAM必要配置 #

这一步是所有WAM调用正常工作的前提：

• 进入客户端桌面应用的Azure AD应用注册页面，打开「身份验证」板块，在桌面/设备类重定向URI列表中，添加WAM固定要求的重定向地址：ms-appx-web://microsoft.aad.brokerplugin/{你的桌面客户端应用的Client ID}，注意此处填写的是桌面客户端本身的Application ID，不是自定义API的。
• 确认客户端应用已经添加了自定义API的access_as_user委托权限，单租户场景下直接对该权限授予租户管理员同意即可。
• 确认自定义API的应用注册中，access_as_user配置为委托权限，而非应用权限。

2. 调整客户端WAM令牌请求逻辑 #

WAM和普通MSAL交互流的核心差异是：WAM不支持在单次令牌请求中同时获取多个不同资源的访问令牌。你之前把Graph的User.Read scope和自定义API的access_as_user scope放在同一次请求里，WAM只会返回首个资源（即Microsoft Graph）的令牌，直接忽略其他资源的scope请求——这就是你拿到的令牌aud固定为Graph的资源ID00000003-0000-0000-c000-000000000000、scp里只有Graph相关权限的根本原因。

调整代码时，把不同资源的令牌请求拆开，每次请求只传同一个资源下的scope：

// 初始化客户端时配置正确的颁发机构，确保WithBroker(true)开启即可
var client = PublicClientApplicationBuilder
    .Create(clientId)
    .WithAuthority("https://login.microsoftonline.com/organizations/v2.0")
    .WithBroker(true)
    .Build();

// 单独请求Microsoft Graph的令牌，仅传Graph相关scope
var graphScopes = new[] { "User.Read" };
var graphTokenResult = await client
    .AcquireTokenInteractive(graphScopes)
    .WithAccount(PublicClientApplication.OperatingSystemAccount)
    .WithParentActivityOrWindow(NativeMethods.GetConsoleWindow())
    .ExecuteAsync();

// 单独请求自定义API的令牌，仅传自定义API的相关scope
var apiScopes = new[] { $"api://{apiClientId}/access_as_user" };
var apiTokenResult = await client
    .AcquireTokenInteractive(apiScopes)
    .WithAccount(PublicClientApplication.OperatingSystemAccount)
    .WithParentActivityOrWindow(NativeMethods.GetConsoleWindow())
    .ExecuteAsync();

配置正确的前提下，第二次请求自定义API令牌时不会弹出交互窗口，WAM会直接复用系统已登录的账户返回有效令牌，完全满足你需要的无交互认证需求。

3. 关于CAA20002报错的说明 #

你之前移除User.Read就报错的问题，本质是因为没有配置WAM要求的专属重定向URI，WAM会将应用识别为未合规配置的代理客户端，强制要求申请Graph的基础登录权限。等你补全上述重定向URI配置后，单独请求自定义API的scope就不会再触发该错误。

内容的提问来源于stack exchange，提问作者M. Flansmose