使用Xamarin+Azure B2C(MSAL)时access_token返回为空的原因排查

看起来你在运行Xamarin + Azure B2C的示例应用时遇到了access_token为空的问题——好在其他claims都正常返回，这说明身份认证流程本身是通的，问题大概率出在API权限的配置或者请求参数上。我帮你梳理几个最可能的原因和解决办法：

1. API Scope的格式或配置有误 #

你定义的Scope是：

public static string[] Scopes = { "https://{tenant Name}.onmicrosoft.com/api://{guid from API Permissions}/Files.Read" }

这里要注意两个关键点：

• 替换的{guid from API Permissions}应该是你在Azure B2C里注册的API应用的Application ID URI（不是客户端应用的ID，也不是权限列表里的GUID）。比如如果你的API的Application ID URI是https://mytenant.onmicrosoft.com/file-api，那正确的Scope应该是https://mytenant.onmicrosoft.com/file-api/Files.Read。
• 确认这个Files.Read是该API定义的Delegated权限（因为交互式登录是用户授权，需要用Delegated类型的权限），而不是Application权限。

2. 客户端应用未正确添加并授予API权限 #

登录Azure门户，找到你的B2C租户下的Xamarin客户端应用：

• 进入「API权限」页面，确认已经添加了目标API的Files.Read权限；
• 如果权限需要管理员同意（有些权限默认需要），记得点击「授予管理员同意」按钮，否则用户登录时不会触发API权限的授权流程，自然拿不到access_token。

3. 请求时传入的Scope参数不正确 #

检查你调用AcquireTokenInteractive时传入的B2CConstants.Scopes是不是真的指向你定义的那个包含API权限的数组。如果B2CConstants.Scopes里只包含openid、profile这类身份范围，那MSAL只会返回id_token，不会返回access_token——因为access_token是专门针对API请求的，必须请求对应的API Scope才行。

4. 额外的排查小技巧 #

• 可以在代码里打印出你实际请求的Scope内容，确认没有拼写错误（比如租户名大小写、API URI写错）；
• 尝试调用AcquireTokenInteractive时加上.WithPrompt(Prompt.SelectAccount)强制用户重新选择账户并授权，有时候缓存里的旧授权信息会导致不请求新的API权限。

内容的提问来源于stack exchange，提问作者ChrisSmathers