使用MSAL从AAD获取令牌后无法获取用户资料，Node后端如何验证令牌？

首先得明确一个关键点：ID Token（也就是你拿到的msal.idtoken）是用来做身份验证的——它证明用户是谁，但不是用来调用API的授权凭证。之前你能用它调用Graph API可能是碰巧赶上了API的宽松策略，但现在微软已经严格区分了两种令牌的用途，所以用ID Token请求/me端点会被拒绝。下面分两部分解决你的问题：

一、正确获取Access Token调用Graph API拿用户资料 #

你需要调整前端MSAL的配置，确保请求到针对Graph API的Access Token：

1. 修正Scope配置
   把consentScopes改成完整的资源权限格式，单独写user.read无法正确关联到Graph API：

   MsalModule.forRoot({
     clientID: 'CLIENT_ID',
     authority: "https://login.microsoftonline.com/TENANT_ID",
     validateAuthority: true,
     cacheLocation: 'sessionStorage',
     postLogoutRedirectUri: 'http://localhost:4200/authorize/signin',
     navigateToLoginRequestUrl: true,
     popUp: true,
     consentScopes: ['https://graph.microsoft.com/User.Read'] // 修正这里
   })
   

2. 确保获取的是Access Token
   在前端调用MSAL的acquireTokenSilent或acquireTokenPopup方法时，指定上述Scope，拿到的才是能调用Graph API的Access Token。用这个Token替换你之前的MSAL_IDTOKEN，再请求https://graph.microsoft.com/v1.0/me就能正常拿到用户资料了。

二、Node后端验证AAD令牌（ID Token/Access Token） #

推荐用jsonwebtoken结合jwks-rsa来验证，这是最可靠的方式，避免手动解析令牌的坑：

步骤1：安装依赖 #

npm install jsonwebtoken jwks-rsa

步骤2：编写验证代码 #

const jwt = require('jsonwebtoken');
const jwksClient = require('jwks-rsa');

// 初始化JWKS客户端，AAD的公钥地址
const jwksClientInstance = jwksClient({
  jwksUri: 'https://login.microsoftonline.com/TENANT_ID/discovery/v2.0/keys'
});

// 获取签名公钥
function getSigningKey(header, callback) {
  jwksClientInstance.getSigningKey(header.kid, (err, key) => {
    const signingKey = key.publicKey || key.rsaPublicKey;
    callback(null, signingKey);
  });
}

// 通用令牌验证函数
async function validateAadToken(token, isIdToken = true) {
  return new Promise((resolve, reject) => {
    jwt.verify(token, getSigningKey, {
      // ID Token的受众是你的客户端ID，Access Token的受众是资源ID（比如Graph API）
      audience: isIdToken ? 'CLIENT_ID' : 'https://graph.microsoft.com',
      // 发行者地址，注意区分AAD v1和v2版本：
      // v1: https://login.microsoftonline.com/TENANT_ID/
      // v2: https://login.microsoftonline.com/TENANT_ID/v2.0
      issuer: 'https://login.microsoftonline.com/TENANT_ID/v2.0',
      algorithms: ['RS256'] // AAD固定用RS256算法签名
    }, (err, decodedToken) => {
      if (err) {
        console.error('令牌验证失败:', err.message);
        reject(err);
      } else {
        console.log('令牌验证通过，解码内容:', decodedToken);
        resolve(decodedToken);
      }
    });
  });
}

// 使用示例
// 验证ID Token
validateAadToken('你的MSAL_IDTOKEN', true)
  .then(() => console.log('ID Token验证成功'))
  .catch(() => console.log('ID Token验证失败'));

// 验证Access Token
validateAadToken('你的ACCESS_TOKEN', false)
  .then(() => console.log('Access Token验证成功'))
  .catch(() => console.log('Access Token验证失败'));

关键注意事项 #

• 确认你的AAD是v1还是v2端点，发行者（issuer）格式不同，填错会导致验证失败
• 验证Access Token时，audience必须和令牌的aud字段一致（比如Graph API的aud是https://graph.microsoft.com）
• 库会自动检查令牌的过期时间（exp字段），无需手动判断

内容的提问来源于stack exchange，提问作者Aniket Singh