MSAL AuthorizationCode流首次调用Graph API未返回全量scope问题

该问题是多租户应用使用https://graph.microsoft.com/.default作为授权码流scope时的典型跨租户权限同步问题：其他租户用户首次触发授权时，Azure AD需要先在目标租户下创建对应应用的服务主体、落地用户/管理员同意的权限记录，这个同步过程存在数秒的延迟。首次用授权码兑换令牌时，权限记录还没完成同步，所以返回的令牌只会携带OIDC协议要求的基础权限openid profile email，不包含Graph相关委派权限；等同步完成后重新获取令牌，就能拿到全量已同意的权限scope，这也是清空缓存重启应用后调用正常的核心原因。

• 拆分登录与资源令牌获取流程：首次触发授权码请求时，scope仅传openid profile email，先完成用户身份认证与授权同意流程，等授权回调落地后，再调用MSAL的静默获取令牌方法acquireTokenSilently，传入https://graph.microsoft.com/.default作为scope请求Graph访问令牌，这时候权限已经完成租户侧同步，能直接拿到全量权限的令牌。
• 增加令牌校验与重试逻辑：在授权码兑换到访问令牌的环节，先解析令牌的scp声明，如果发现不包含预期的Graph权限，等待3-5秒后清空当前缓存的无效令牌，重新调用静默取令牌接口获取新令牌，再发起Graph接口调用。不需要重启应用，就能覆盖首次同步延迟的场景。
• 提前完成高权限的管理员同意：当前配置的User.ReadWrite.All、Directory.ReadWrite.All等属于高权限，普通租户用户没有直接同意的权限，必须由目标租户的全局管理员完成租户级管理员同意，否则就算权限同步完成，普通用户拿到的令牌也不会包含这类高权限scope。测试阶段可以先用目标租户管理员账号完成首次授权和同意，或者提前推送管理员同意链接完成租户范围的权限落地，减少普通用户授权时的同步异常。
• 升级MSAL4j到最新稳定版本：部分旧版本MSAL Java SDK存在跨租户令牌缓存逻辑bug，会把首次同步未完成的无效令牌长期缓存，不会自动触发刷新，升级到最新版本可以规避这类SDK层面的缓存问题。

注意：/.default属于静态scope匹配模式，不会触发动态权限勾选的同意页，只要目标租户下对应应用服务主体的权限记录完成同步，返回的令牌就会自动携带所有已完成同意的委派权限，不需要在请求参数里逐个枚举权限。

内容的提问来源于stack exchange，提问作者kaushik