使用隐式流令牌获取On-Behalf-Of访问令牌遇权限问题

我之前也碰到过类似的情况，结合你的场景，咱们一步步来排查和解决：

先搞清楚问题出在哪 #

你用隐式流拿到了访问令牌，结果后端走OBO流程请求Graph令牌时提示没获得用户同意，大概率是这几个原因：

• 权限配置没搭对：你前端请求了openid、profile和https://graph.microsoft.com/user.read，但如果后端API没被授权代表用户调用Graph，或者权限类型不对、没走完同意流程，就会报错。
• 令牌受众搞错了：如果前端拿的令牌是给自己后端API用的（受众是后端的client ID），那后端要转成Graph令牌时，得确保后端已经配置了Graph的委托权限，而且用户登录时已经同意了这些权限。
• OBO流程的配置漏了：Azure AD里得把前端、后端、Graph三者的权限链路打通，缺一环都不行。

具体怎么解决？ #

第一步：检查Azure AD里的权限配置 #

1. 先看你的前端客户端应用：
   • 进到Azure门户的应用"API权限"页面，要是你是「前端→后端→Graph」的流程，得确认加了后端API的委托权限；要是前端直接拿Graph令牌，就得确保https://graph.microsoft.com/user.read这个权限已经加上，而且状态是"已授予同意"（要么用户自己同意过，要么管理员统一同意了）。
2. 再看你的后端API应用：
   • 同样去"API权限"，添加https://graph.microsoft.com/user.read的委托权限，并且确保这个权限也完成了同意流程。

第二步：确保前端的令牌请求方向正确 #

如果你的架构是前端先调用后端，再由后端调用Graph，那前端不该直接请求Graph的权限，得请求后端API的权限范围。举个MSAL的代码例子：

var app = new Msal.UserAgentApplication(clientId, authority, loginCallback, {
    redirectUri: "你的前端重定向地址"
});

// 请求后端API的权限，而不是直接请求Graph
var requestObj = {
    scopes: ["api://你的后端ClientID/access_as_user"]
};

app.loginPopup(requestObj).then(function (loginResponse) {
    app.acquireTokenSilent(requestObj).then(function (tokenResponse) {
        // 把这个令牌发给后端就行
    });
});

这样后端拿到的令牌受众是自己，之后走OBO转Graph令牌才合规。

第三步：后端正确实现OBO流程 #

后端调用OBO的时候，要明确请求Graph的权限范围，同时用对自己的客户端凭据（client ID+secret或者证书）。拿.NET举个实现例子：

var oboTokenRequest = new OnBehalfOfTokenRequest
{
    ClientId = "后端的ClientID",
    ClientSecret = "后端的ClientSecret",
    Scope = new[] { "https://graph.microsoft.com/user.read" },
    Token = "前端传过来的访问令牌"
};

var tokenResponse = await _tokenAcquisition.GetAccessTokenForUserAsync(oboTokenRequest);

第四步：确认用户同意了所有必要权限 #

如果是公司内部的单租户应用，让管理员做个管理员同意，所有用户就不用单独点同意了；要是多租户应用，第一次登录的时候得让用户在同意窗口里确认授权。你可以检查下前端登录时有没有弹出同意窗口，要是没弹，要么是已经同意过，要么是管理员开了自动同意。

内容的提问来源于stack exchange，提问作者XwipeoutX