msal-node对接Partner Center API非交互场景下MFA用户一次性授权问题咨询

核心是利用msal-node公开的缓存操作接口，把手动获取的初始刷新令牌导入缓存，后续完全依赖官方推荐的acquireTokenSilent完成令牌自动刷新和滚动更新，无需重复用户交互。

• 第一步：首次初始化获取必要参数
  按照Partner Center安全应用模型的授权流程，引导启用MFA的目标用户完成一次交互授权，拿到初始刷新令牌、对应用户的homeAccountId，将这两个值加密存储到持久化介质中。
• 第二步：配置msal-node缓存持久化
  初始化ConfidentialClientApplication时配置缓存插件，实现缓存的加载和持久化逻辑，确保服务重启后可以直接读取之前的认证缓存，不需要重新授权。
• 第三步：首次启动导入初始刷新令牌
  首次运行服务时调用缓存的addRefreshToken方法，将之前拿到的初始刷新令牌写入msal-node内部缓存，后续运行不需要再执行该操作。
• 第四步：正常调用接口获取访问令牌
  每次需要调用Partner Center API时，调用acquireTokenSilent方法，msal-node会自动处理令牌过期、刷新令牌滚动更新的逻辑，新的刷新令牌会自动同步到持久化存储中。

const { ConfidentialClientApplication } = require('@azure/msal-node');
const fs = require('fs/promises');

// 演示用本地缓存路径，生产环境建议替换为加密密钥管理服务
const CACHE_PATH = './encrypted-msal-cache.json';

const msalConfig = {
  auth: {
    clientId: '你的AAD应用客户端ID',
    clientSecret: '你的AAD应用客户端密钥',
    authority: 'https://login.microsoftonline.com/你的租户ID'
  },
  cache: {
    cachePlugin: {
      // 服务启动时加载已持久化的缓存
      beforeCacheAccess: async (cacheContext) => {
        try {
          const cacheData = await fs.readFile(CACHE_PATH, 'utf-8');
          // 生产环境需先对读取的缓存数据做解密处理
          cacheContext.tokenCache.deserialize(cacheData);
        } catch (e) {
          // 首次运行无缓存的情况，需先执行一次初始刷新令牌导入
        }
      },
      // 缓存更新时自动持久化存储
      afterCacheAccess: async (cacheContext) => {
        if (cacheContext.cacheHasChanged) {
          const serializedCache = cacheContext.tokenCache.serialize();
          // 生产环境需先对缓存数据做加密处理再写入存储
          await fs.writeFile(CACHE_PATH, serializedCache);
        }
      }
    }
  }
};

const pca = new ConfidentialClientApplication(msalConfig);

// 首次运行时调用一次该方法导入初始刷新令牌，后续启动无需调用
async function importInitialRefreshToken(initialRefreshToken, userHomeAccountId) {
  const tokenCache = pca.getTokenCache();
  const refreshTokenEntry = {
    home_account_id: userHomeAccountId,
    environment: 'login.microsoftonline.com',
    credential_type: 'RefreshToken',
    client_id: msalConfig.auth.clientId,
    secret: initialRefreshToken,
    realm: msalConfig.auth.tenantId,
    target: 'https://api.partnercenter.microsoft.com/.default'
  };
  await tokenCache.addRefreshToken(refreshTokenEntry);
}

// 日常获取Partner Center访问令牌的方法，无需用户交互
async function getValidAccessToken() {
  const targetAccount = await pca.getTokenCache().getAccountByHomeId('你持久化存储的用户homeAccountId');
  const tokenResponse = await pca.acquireTokenSilent({
    account: targetAccount,
    scopes: ['https://api.partnercenter.microsoft.com/.default']
  });
  return tokenResponse.accessToken;
}

• 所有认证相关的敏感数据（刷新令牌、msal缓存内容、客户端密钥）必须加密存储，生产环境禁止明文存储在本地文件中，建议使用云厂商密钥管理服务、加密数据库等方案存储。
• 你所使用的AAD应用必须提前完成Partner Center安全应用模型的配置，否则刷新令牌会被限制有效期，无法长期使用。
• 调用acquireTokenSilent时传入的scopes必须和首次授权时申请的scopes完全一致，否则会触发授权错误。
• 不要使用已废弃的acquireTokenByRefreshToken方法，该方法不会触发刷新令牌滚动更新，也不会同步缓存，长期使用会导致刷新令牌过期失效。

内容的提问来源于stack exchange，提问作者user3781737