FastAPI集成OAuth2与Azure AD实现无需输入客户端凭据的SSO方案咨询

你遇到的提示输入Client ID、Client Secret的问题，本质是fastapi_msal默认提供的调试/交互初始化逻辑导致的，生产环境下所有客户端凭据都应该在服务端侧配置，完全不需要暴露给用户参与输入，按以下步骤修改即可：

1. 服务端预先配置凭据，跳过交互输入 #

不要调用fastapi_msal自带的交互配置创建方法，直接初始化MSAL配置类时传入所有参数，参数从服务端环境变量/密钥管理服务读取即可：

import os
from fastapi import FastAPI, Request, Depends
from fastapi_msal import MSALAuthorization, MSALConfig
from fastapi.responses import RedirectResponse

app = FastAPI()

# 所有凭据从服务端环境变量读取，全程不暴露给前端/用户
msal_config = MSALConfig(
    client_id=os.getenv("AZURE_AD_CLIENT_ID"),
    client_credential=os.getenv("AZURE_AD_CLIENT_SECRET"),
    tenant=os.getenv("AZURE_AD_TENANT_ID"),
    redirect_uri=os.getenv("AZURE_AD_REDIRECT_URI", "http://localhost:8000/auth/callback"),
    scopes=["User.Read"] # 按实际业务需要调整权限范围
)

auth = MSALAuthorization(app=app, config=msal_config)

2. 实现自动触发登录逻辑 #

fastapi_msal会自动注册登录、回调相关路由，你只需要按业务场景触发跳转即可：

• 页面加载自动触发登录：给访问路由加权限校验依赖，未登录用户会直接跳转Azure登录页

  @app.get("/")
  async def home(user = Depends(auth.scheme)):
      # 依赖校验不通过时会自动重定向到登录流程，无需额外处理
      return {"登录用户信息": user.dict()}
  

• 点击登录按钮触发：前端登录按钮直接跳转/auth/login路由即可，跳转后会自动进入Azure官方的登录流程，全程不需要输入客户端凭据。

注意事项 #

• 生产环境禁止将Client ID、Client Secret硬编码在代码中，优先使用云厂商密钥管理服务、进程环境变量存储敏感凭据
• 确保Azure AD后台注册应用时配置的重定向URI，和代码中redirect_uri参数完全一致，否则会导致登录流程报错
• 如果需要自定义登录成功后的跳转逻辑，可以重写回调路由，在获取用户信息后跳转至指定前端页面

内容的提问来源于stack exchange，提问作者Dev Queen