MSAL响应类型为code时为何需在Azure应用注册启用ID令牌？

这个要求和OAuth 2.0原生授权码流规范无关，是MSAL的实现逻辑+Azure AD的校验规则共同决定的：

• MSAL本身是兼容OIDC协议的认证客户端，不是裸OAuth2客户端。哪怕你手动把响应类型设为code，MSAL发起授权请求时也会自动附带openid权限范围。按照OIDC协议规则，只要请求携带openid scope，身份提供方必须返回ID令牌，如果你在应用注册里关了ID令牌签发，Azure AD会直接拦截请求返回invalid_request错误，根本不会下发授权码。
• MSAL的登录态逻辑强依赖ID令牌：拿到授权码换发令牌的环节，MSAL会通过ID令牌完成本地身份校验，包括验证令牌签发方合法性、受众是否匹配当前应用、提取用户唯一ID和基础账号声明，直接建立本地登录会话，不需要额外调用用户信息接口拉取基础身份数据。
• 如果你用的是单页应用适配的PKCE授权码流，这是Azure AD侧的硬校验规则：不管你实际业务要不要用ID令牌，不勾选启用ID令牌的话，所有授权请求都会被直接拒绝，没有绕过空间。

别觉得这个配置多此一举：要是你硬要自己拼HTTP请求，绕开MSAL默认逻辑不带openid scope走纯OAuth2授权码流，确实可以关闭ID令牌签发，但这么做等于放弃MSAL封装好的登录态管理、令牌缓存、自动续期等全套能力，所有逻辑都要自己手写，性价比极低。

内容的提问来源于stack exchange，提问作者Sumeet Bhati