AADSTS9002326报错：配置Postman调用Dynamic零售POS API获取token失败

AADSTS9002326: Cross-origin token redemption is permitted only for the 'Single-Page Application' client-type

错误原因 #

该错误触发了Azure AD的内置安全策略：跨域场景下兑换访问令牌，仅支持客户端类型配置为*单页应用(SPA)*的应用注册实体，Postman发送请求时触发跨域校验，与现有应用注册的配置不匹配导致请求失败。

解决方案 #

可根据实际使用场景选择对应处理方案：

场景1：仅使用Postman做临时接口测试，无需支持生产环境SPA调用 #

• 更换Postman的OAuth 2.0授权流程，不要使用默认适配SPA的Authorization Code Flow with PKCE，改用不会触发跨域校验的客户端凭证流(Client Credentials Flow)或者密码授权流(Resource Owner Password Credentials Flow)：
  • 客户端凭证流配置要点：
    1. 进入Azure应用注册的「API权限」页面，添加Dynamic Retail POS API的应用权限，完成管理员同意操作
    2. 打开Postman的OAuth 2.0配置页，Grant Type选择Client Credentials，依次填写对应Tenant ID、Client ID、Client Secret，Scope填写POS API的标识地址/.default
• 临时修改Postman配置：设置页搜索Allow cross origin domain，开启该开关后重试token获取请求

场景2：该应用注册需要同时支持生产SPA调用和Postman测试 #

• 调整Azure应用注册的平台配置：
  1. 进入Azure门户→应用注册→找到目标应用→左侧菜单选择「身份验证」
  2. 点击「添加平台」→选择「单页应用程序」
  3. 在重定向URI配置栏，添加Postman的官方回调地址：https://oauth.pstmn.io/v1/callback
  4. 保存配置后等待1~2分钟生效，再回到Postman重新发起token请求

内容的提问来源于stack exchange，提问作者Ananth