如何选Azure Spring Boot AD示例实现双向服务及前后端鉴权

没有单个开箱即用的示例100%覆盖你提到的「Angular前端接入+两个Spring Boot服务双向互调全链路鉴权」场景，代码复用率最高、改造量最小的选择是：以azure-spring-boot-sample-active-directory仓库下的web-client-access-multiple-resource-servers示例为核心骨架，搭配同仓库的aad-resource-server-basic示例补充双向鉴权配置，即可覆盖全部需求，具体适配逻辑如下：

• 针对Angular前端到Spring Boot应用A的访问安全管控：直接复用示例里的OAuth2 SPA鉴权逻辑，前端用MSAL Angular库拉取对应受众的访问令牌传给后端，应用A配置为第一层资源服务器，校验令牌的受众、签名、有效期即可，这部分代码示例已经完整实现，只需要替换你自己Azure AD应用注册的客户端ID、租户ID参数。
• 针对应用A调用应用B的服务到服务鉴权：直接复用示例里的OBO（代理流）令牌获取逻辑——应用A校验完前端传来的合法令牌后，通过OBO流换发受众为应用B的访问令牌，再通过WebClient/RestTemplate携带该令牌调用B的接口；应用B侧按照aad-resource-server-basic的配置，校验令牌受众是否匹配B的应用ID，即可完成服务侧鉴权，这部分是示例的原生核心能力，不需要额外开发。
• 针对应用B反向调用应用A的鉴权需求：只需要在B侧加对称的OBO流令牌获取逻辑，同时在应用A的SecurityFilterChain配置里加一条规则，放行服务间调用携带的、受众为A的服务类访问令牌即可，这部分改造量极小，仅需调整配置类，不需要改动原有鉴权框架。

避坑提醒：不要选纯前端登录示例、也不要选纯资源服务器示例，前者没有服务间调用的OBO流实现，后者没有适配SPA的跨域、令牌前端传递的相关逻辑，选这两类需要补写大量核心鉴权代码，性价比极低。

内容的提问来源于stack exchange，提问作者user4886675