多租户应用授权API返回结果缺少Refresh token问题咨询

• 发起用户授权请求时，未在scope参数中添加offline_access权限：这是微软身份平台返回刷新令牌的强制要求，缺少该权限时平台默认不会下发refresh_token。
• 使用了不支持返回刷新令牌的授权流程：隐式流本身出于安全设计不会返回刷新令牌，只有授权码流、设备授权流等支持下发刷新令牌的流程才能拿到该字段。
• 应用注册配置存在问题：
  • 注册应用时选择的平台类型和实际使用场景不匹配，比如将单页应用（SPA）的配置用于Web服务场景，SPA的默认配置限制了刷新令牌的下发
  • 应用注册的身份验证配置中，开启了禁止下发刷新令牌的相关规则
• 调用令牌兑换接口时参数错误：如果是使用旧刷新令牌兑换新访问令牌的场景，未在请求参数中保留offline_access scope，也不会返回新的刷新令牌。
• 使用了无用户上下文的授权流程：比如客户端凭据流，该流程仅针对应用本身授予权限，不存在用户身份维度的刷新机制，天然不会返回refresh_token。

内容的提问来源于stack exchange，提问作者Arun Joseph