Azure AD静默登录报错AADSTS50058：Spring Boot服务间无交互鉴权问题

你遇到的AADSTS50058错误核心原因很明确：服务间调用不该用基于用户的静默认证流程。静默认证是给已登录用户做无交互续期用的，但服务间调用属于后台服务对服务的访问，根本没有用户上下文，所以必须切换到客户端凭证流（Client Credentials Flow），这才是服务间认证的正确姿势。

下面给你一步步拆解解决方案：

一、先搞定Azure AD端的配置 #

• 分别为你的Spring Boot被调用应用、调用方应用在Azure AD里完成应用注册。
• 给调用方应用分配应用权限（注意不是委托权限！委托权限需要用户上下文，完全不适合服务间场景）到被调用方应用，并且必须让管理员完成权限同意操作。
• 记录好关键信息：两个应用的客户端ID（Client ID）、客户端密钥（Client Secret）、租户ID（Tenant ID），以及被调用方应用的受众（Audience）（通常是被调用方的Client ID或者自定义的应用URI，比如api://your-app-client-id）。

二、调整Spring Boot被调用方的配置 #

推荐用Spring Security Azure AD Starter来简化配置，比自己写过滤器省心太多：

1. 先加Maven依赖：

<dependency>
    <groupId>com.azure.spring</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>com.azure.spring</groupId>
    <artifactId>spring-boot-starter-active-directory</artifactId>
</dependency>

2. 在application.yml里配置Azure AD信息：

azure:
  active-directory:
    tenant-id: <你的租户ID>
    client-id: <被调用方应用的Client ID>
    app-id-uri: <被调用方的应用URI，比如api://xxx-xxx-xxx>

3. 修改你的WebSecurityConfig，适配服务间的JWT验证：

@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private AADAppRoleStatelessAuthenticationFilter aadAuthFilter;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .addFilterBefore(aadAuthFilter, UsernamePasswordAuthenticationFilter.class);
    }
}

三、调用方应用的认证实现 #

调用方要通过客户端凭证流获取访问令牌，再携带令牌调用接口：

import com.azure.identity.ClientSecretCredential;
import com.azure.identity.ClientSecretCredentialBuilder;
import com.azure.core.credential.AccessToken;
import com.azure.core.http.HttpClient;
import com.azure.core.http.HttpHeaders;
import com.azure.core.http.HttpMethod;
import com.azure.core.http.HttpRequest;
import com.azure.core.http.HttpResponse;

public class ServiceCaller {
    private static final String TENANT_ID = "<你的租户ID>";
    private static final String CLIENT_ID = "<调用方应用的Client ID>";
    private static final String CLIENT_SECRET = "<调用方应用的Client Secret>";
    private static final String SCOPE = "<被调用方的app-id-uri>/.default"; // 比如api://xxx-xxx-xxx/.default

    public void callProtectedApi() {
        // 创建客户端凭证实例
        ClientSecretCredential credential = new ClientSecretCredentialBuilder()
                .tenantId(TENANT_ID)
                .clientId(CLIENT_ID)
                .clientSecret(CLIENT_SECRET)
                .build();

        // 获取访问令牌
        AccessToken token = credential.getToken(
                new com.azure.core.credential.TokenRequestContext().addScopes(SCOPE)
        ).block();

        // 携带令牌调用被调用方接口
        HttpClient client = HttpClient.createDefault();
        HttpRequest request = new HttpRequest(HttpMethod.GET, "https://your-spring-boot-app.com/api/your-endpoint")
                .setHeader(HttpHeaders.AUTHORIZATION, "Bearer " + token.getToken());

        HttpResponse response = client.send(request).block();
        // 这里处理接口响应逻辑
    }
}

四、常见坑点排查 #

• 一定要确认调用方的权限是应用权限，别选成委托权限，后者必须有用户登录才能用。
• 管理员必须同意调用方的应用权限，否则会出现权限不足的错误。
• scope参数格式必须是被调用方的app-id-uri/.default，这是客户端凭证流的固定要求。
• 验证被调用方的JWT验证逻辑，确保令牌的aud（受众）字段和被调用方的Client ID或app-id-uri匹配。

内容的提问来源于stack exchange，提问作者Piyush