非Flask环境下MSAL的acquire_token_by_auth_code_flow调用失败求助

你的核心问题在于没有正确构造auth_response参数——这个参数需要的是Azure AD认证完成后，重定向回你设置的redirect_uri时携带的完整查询参数字典（包含code、state等关键参数），而不是你自己定义的REDIRECT_PATH的空查询串。

为什么会出现state mismatch？ #

当你调用initiate_auth_code_flow时，MSAL会生成一个包含state值的授权流程对象。认证完成后，Azure AD会把这个state值原样返回给你，MSAL需要验证返回的state和流程对象里的state一致，防止CSRF攻击。你现在传入的auth_response是空字典（因为REDIRECT_PATH没有查询参数），所以MSAL拿不到返回的state，自然会报错"state mismatch"。

非Flask环境下的完整流程修正 #

以下是适配非Flask环境的完整步骤和代码：

1. 修正redirect_uri为绝对URL #

首先，Azure AD要求redirect_uri必须是绝对URL，不能只是路径。比如你本地测试可以用http://localhost:8000/getAToken，并且要确保这个URL已经在Azure AD应用注册的"重定向URI"里配置过。

REDIRECT_URI = "http://localhost:8000/getAToken"  # 替换成你实际配置的绝对URL

2. 生成授权流程并引导用户登录 #

调用initiate_auth_code_flow后，你需要拿到生成的授权URL，让用户在浏览器中访问这个URL完成登录认证：

import requests
import msal
from urllib.parse import urlparse, parse_qsl

CLIENT_ID = "XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX"
CLIENT_SECRET = "XX-XXXXXXXX-XXXXXXXX.XX~XXXXX~XXXX"
AUTHORITY = "https://login.microsoftonline.com/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXX"
REDIRECT_URI = "http://localhost:8000/getAToken"
SCOPE = ["https://graph.microsoft.com/.default"]

# 初始化MSAL应用和缓存
cache = msal.SerializableTokenCache()
app = msal.ConfidentialClientApplication(
    CLIENT_ID, authority=AUTHORITY,
    client_credential=CLIENT_SECRET, token_cache=cache)

# 生成授权流程
auth_flow = app.initiate_auth_code_flow(scopes=SCOPE, redirect_uri=REDIRECT_URI)
print(f"请在浏览器中打开以下URL完成登录：\n{auth_flow['auth_uri']}")

3. 获取认证回调的完整URL并解析参数 #

用户登录完成后，Azure AD会重定向到你设置的REDIRECT_URI，并在URL的查询串中带上code、state等参数（比如http://localhost:8000/getAToken?code=abc123&state=xyz789...）。你需要获取这个完整的回调URL，然后解析它的查询参数：

# 手动输入回调URL（如果是桌面应用，可以用本地HTTP服务器自动捕获，后面会讲）
callback_url = input("请输入浏览器重定向后的完整URL：")

# 解析URL的查询参数，构造auth_response
parsed_url = urlparse(callback_url)
auth_response = dict(parse_qsl(parsed_url.query))

4. 调用acquire_token_by_auth_code_flow获取令牌 #

现在用正确的auth_response和之前保存的auth_flow来获取令牌：

result = app.acquire_token_by_auth_code_flow(auth_code_flow=auth_flow, auth_response=auth_response)

# 验证结果
if "access_token" in result:
    print("令牌获取成功！")
    # 调用Graph API示例
    graph_response = requests.get(
        "https://graph.microsoft.com/v1.0/me",
        headers={"Authorization": f"Bearer {result['access_token']}"}
    )
    print("用户信息：", graph_response.json())
else:
    print("令牌获取失败：", result.get("error_description", result.get("error")))

进阶：自动捕获回调URL（无需手动输入） #

如果是桌面应用，你可以用Python内置的http.server启动一个临时本地服务器，自动捕获Azure AD的重定向请求：

from http.server import BaseHTTPRequestHandler, HTTPServer
import threading

# 用于存储回调参数的全局变量
callback_params = None

class CallbackHandler(BaseHTTPRequestHandler):
    def do_GET(self):
        global callback_params
        # 解析查询参数
        parsed_path = urlparse(self.path)
        callback_params = dict(parse_qsl(parsed_path.query))
        # 返回成功页面给用户
        self.send_response(200)
        self.send_header("Content-type", "text/html")
        self.end_headers()
        self.wfile.write(b"登录完成！请返回终端继续。")
        # 关闭服务器
        self.server.shutdown()

# 启动本地服务器
server = HTTPServer(("localhost", 8000), CallbackHandler)
server_thread = threading.Thread(target=server.serve_forever)
server_thread.start()

print(f"请在浏览器中打开以下URL完成登录：\n{auth_flow['auth_uri']}")
# 等待服务器捕获回调
server_thread.join()

# 用捕获到的参数获取令牌
result = app.acquire_token_by_auth_code_flow(auth_code_flow=auth_flow, auth_response=callback_params)

这样就完全不需要手动输入回调URL了，流程更顺畅。

关键注意事项 #

• 确保REDIRECT_URI和Azure AD应用注册里的配置完全一致（包括HTTP/HTTPS、端口、路径）
• 要保存好auth_flow对象，直到完成令牌获取，不能在生成后丢失或修改
• 如果是生产环境，不要硬编码CLIENT_SECRET，建议用环境变量或安全的配置管理方式

内容的提问来源于stack exchange，提问作者Zhuo Han