使用Azure Active Directory保护APIM API时如何实现免登录页访问？

首先明确：可以实现用户直接请求APIM资源URL时无弹窗自动完成身份验证并返回资源，你当前操作出现401是因为仅完成了OAuth2授权码流的第一步获取授权码，没有完成后续令牌兑换、请求携带令牌的逻辑，具体实现方案如下：

核心逻辑调整步骤 #

• 第一步：配置APIM身份验证重定向策略
  给目标API配置OAuth2身份验证策略，当检测到请求无有效访问令牌时，自动重定向到Azure AD的授权端点，固定携带prompt=none参数，只要用户浏览器已经登录过公司Azure AD账号，就会静默完成身份校验，不会弹出登录窗口。
• 第二步：补全授权码流兑换令牌逻辑
  Azure AD静默授权后会带着授权码跳转到你配置的APIM回调地址，需要在APIM策略里补充逻辑：用授权码向Azure AD /oauth2/token 端点兑换访问令牌，将令牌存入安全Cookie（需开启HttpOnly、Secure、SameSite=Strict属性）后，自动重定向回用户最初请求的资源地址。
• 第三步：配置APIM从Cookie提取令牌验证
  调整APIM的令牌校验规则，允许从请求携带的Cookie中提取访问令牌做身份校验，后续用户访问同域APIM接口时，浏览器会自动携带存了令牌的Cookie，无需手动在请求里带令牌，也不会触发登录弹窗。

注意事项 #

• 提前在Azure AD应用注册的重定向URI白名单中添加APIM的回调地址，确保授权流正常跳转。
• 若用户未登录过公司Azure AD、或登录会话已过期，prompt=none的授权请求会返回login_required错误，可根据业务需要选择跳转至登录页，或返回无权限提示。

内容的提问来源于stack exchange，提问作者Pingpong