单租户Angular应用对接MS Azure AD身份认证登录失败问题求助

问题排查点 #

你遇到的是Azure AD授权码流回调后未完成身份校验的典型问题，可按以下顺序逐一排查：

• 优先检查Azure门户应用注册配置
  1. 重定向URI的类型必须选择「单页应用(SPA)」，不能选Web类型，SPA场景使用PKCE模式的授权码流，和Web应用的验证逻辑完全不同
  2. 注册的重定向URI必须和你代码里配置的http://localhost:6735完全一致，不能有多余的后缀、大小写差异，http/https也必须匹配
  3. 应用注册的「支持的账户类型」必须选择「仅我的组织目录中的账户(单租户)」，和你的业务场景匹配
• 修正MSAL配置项
  1. 单租户场景直接固定authority为https://login.microsoftonline.com/你的Azure租户ID，不要使用organizations多租户端点
  2. 如果你使用Angular哈希路由（从返回的回调URL带#可判断），需要确认MSAL配置中开启了哈希模式适配，关闭不必要的自动跳转配置
• 检查回调处理逻辑
  1. 必须在Angular应用初始化阶段调用msalService.instance.handleRedirectPromise()处理回调返回的授权码，缺少这一步会导致MSAL拿到code但不发起换token的请求，登录流程中断
  2. 确认没有自定义路由守卫、路由拦截器截断了回调请求，导致MSAL无法读取URL上的code参数
• 检查请求参数配置
  1. 发起登录请求时必须传入至少一个有效scope，例如user.read，空scope或者无效scope会导致授权流程中断
  2. 打开浏览器F12控制台，查看是否有CORS、权限拒绝类报错，可进一步定位问题根因

内容的提问来源于stack exchange，提问作者Karthik Saxena