MSAL AcquireTokenWithDeviceCode 浏览器端认证问题咨询

你当前代码阻塞的核心原因有两个：

• 你选用的AcquireTokenWithDeviceCode是设备码授权流，设计场景是无浏览器的终端设备（比如无头服务器、IoT设备），你写的回调函数为空，没有将设备验证地址、用户码返回给前端用户，服务端会一直轮询微软授权接口等待用户完成认证，因此会永久阻塞。
• 你使用的IPublicClientApplication是公共客户端，面向桌面端、移动端等无法安全存储密钥的客户端场景，本身不适合部署在Azure Web服务端使用，同时你配置的nativeclient重定向URI是原生桌面客户端专用，和Web服务端场景不匹配。

你之前使用的用户名密码直接登录的流（ROPC）本身就不兼容开启2FA的账号，这是微软的强制安全限制，没有绕过手段，根据你的需求可以选择以下两种方案实现：

该方案适合需要用户登录后访问自己的OneDrive资源的场景，全程登录操作在用户本地浏览器完成，支持2FA验证：

• 首先进入Azure AD应用注册管理页，将当前应用的平台类型修改为Web，删除原有原生客户端的重定向URI，添加你自己站点的回调地址，例如https://你的站点域名/signin-callback。
• 在Azure AD应用的「证书和密码」页面生成客户端密钥，妥善保存。
• 服务端不再使用公共客户端，改用面向Web服务场景的IConfidentialClientApplication，采用授权码流完成认证：当用户访问需要授权的页面时，服务端直接返回302响应，将用户重定向到微软登录页，用户在自己浏览器内完成账号验证、2FA校验后，微软会携带授权码回调你提前配置的站点地址。
• 服务端拿到回调请求中的授权码后，调用MSAL接口兑换Access Token，存入当前用户会话即可用于后续调用Graph接口。

核心实现代码如下（适配.NET Framework 4.6.1环境）：

// 全局初始化机密客户端，单例复用即可
IConfidentialClientApplication confidentialApp = ConfidentialClientApplicationBuilder
    .Create(你的clientId)
    .WithClientSecret(你生成的客户端密钥)
    .WithRedirectUri("https://你的站点域名/signin-callback")
    .WithTenantId("common") // 若允许任意微软账号登录填common，仅允许本租户账号填租户ID/域名
    .Build();

// 1. 触发登录逻辑：生成授权地址，跳转至用户浏览器
var authUrlBuilder = await confidentialApp.GetAuthorizationRequestUrl(
    new[] { "Files.ReadWrite", "User.Read" } // 按需申请委托类型的Graph权限
).ExecuteAsync();
// 直接重定向，用户将在自己的浏览器打开微软登录页
Response.Redirect(authUrlBuilder.ToString());

// 2. 回调接口逻辑：接收授权码兑换token
protected void SigninCallback(object sender, EventArgs e)
{
    string authCode = Request.QueryString["code"];
    var authResult = await confidentialApp.AcquireTokenByAuthorizationCode(
        new[] { "Files.ReadWrite", "User.Read" }, 
        authCode
    ).ExecuteAsync();
    // 将token存入当前用户会话，不要返回给前端
    Session["GraphAccessToken"] = authResult.AccessToken;
    // 跳转回业务页面
    Response.Redirect("/home");
}

// 3. 构造GraphServiceClient
var graphClient = new GraphServiceClient(new DelegateAuthenticationProvider(async (request) =>
{
    var token = Session["GraphAccessToken"]?.ToString();
    request.Headers.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", token);
}));

该方案适合后台服务自动访问OneDrive资源、不需要用户参与登录的场景，全程无交互，不受2FA规则限制：

• 进入Azure AD应用注册管理页，将应用平台配置为Web，生成客户端密钥。
• 在「API权限」页面选择应用程序权限（注意不是委托权限），按需添加OneDrive相关权限（例如Files.Read.All、Files.ReadWrite.All），点击「授予管理员同意」完成权限配置，否则调用接口会返回403。
• 采用客户端凭证流获取token，该流程获取的是代表应用本身身份的token，不是用户身份的token，访问OneDrive时需要指定目标用户的ID或UPN。

核心实现代码如下：

IConfidentialClientApplication clientCredApp = ConfidentialClientApplicationBuilder
    .Create(你的clientId)
    .WithClientSecret(你生成的客户端密钥)
    .WithTenantId("你的租户ID/域名") // 客户端凭证流不支持common租户，必须指定具体租户
    .Build();

// 直接获取token，全程无用户交互
var authResult = await clientCredApp.AcquireTokenForClient(
    new[] { "https://graph.microsoft.com/.default" } // 客户端凭证流固定用.default作为scope
).ExecuteAsync();

// 构造Graph客户端
var graphClient = new GraphServiceClient(new DelegateAuthenticationProvider(async (request) =>
{
    request.Headers.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", authResult.AccessToken);
}));

// 访问指定用户的OneDrive示例
var driveItem = await graphClient.Users["目标用户的UPN，比如user@contoso.com"]
    .Drive
    .Root
    .ItemWithPath("/test.txt")
    .Request()
    .GetAsync();

注意事项

• 不要在Web服务端使用公共客户端的设备码、用户名密码等流程，这类流程面向原生客户端设计，在服务端运行不仅会出现阻塞问题，还存在凭证泄露的安全风险。
• Access Token存在有效期，生产环境需要配合MSAL的token缓存机制实现自动刷新，避免token过期导致接口调用失败。
• 所有凭证、token需要存储在服务端，不要明文返回到前端页面。

内容的提问来源于stack exchange，提问作者PokkeYuri