使用Bell与HapiJS对接Office365时Azure AD v2无access_token问题

我来帮你捋捋这个问题——用Bell和HapiJS对接O365时拿不到access_token，我之前踩过类似的坑，大概率是这几个地方没配置对：

• 首先检查授权请求的scope参数
  O365的v2 OAuth端点对scope是强要求的，你当前的授权URL里没看到scope参数，这绝对是关键！Bell默认的scope可能不满足O365的要求，必须手动指定包含openid、profile这类获取用户信息的权限，还要加上User.Read（调用Graph API拿用户信息必须的）。配置示例：

  server.auth.strategy('azure-ad', 'bell', {
      provider: 'azureAD',
      clientId: '[你的client-id]',
      clientSecret: '[你的client-secret]',
      scope: ['openid', 'profile', 'email', 'User.Read'], // 这些一个都不能少
      redirectUri: 'http://localhost:5430/api/v1/login/azure-ad'
  });
  

  没正确传scope的话，token端点根本不会返回有效的access_token。

• 核对O365应用注册的配置
  去Azure门户的应用注册里检查这几点：

  • 重定向URI必须和你代码里的完全一致，包括http/https、端口、路径，大小写都不能错
  • 在“认证”设置里，确保启用了授权码流（如果是隐式流也要对应勾选，但授权码流更安全）
  • API权限里必须添加Microsoft Graph的User.Read，并且已经完成管理员同意（如果是企业租户应用的话）

• 强制指定Bell的O365端点为v2版本
  有时候Bell默认的Azure AD provider可能指向旧的v1端点，导致和v2的token端点不兼容。你可以手动覆盖provider的端点配置：

  server.auth.strategy('azure-ad', 'bell', {
      provider: {
          protocol: 'oauth2',
          auth: 'https://login.microsoftonline.com/common/oauth2/v2.0/authorize',
          token: 'https://login.microsoftonline.com/common/oauth2/v2.0/token',
          profile: 'https://graph.microsoft.com/v1.0/me'
      },
      clientId: '[你的client-id]',
      clientSecret: '[你的client-secret]',
      scope: ['openid', 'profile', 'email', 'User.Read'],
      redirectUri: 'http://localhost:5430/api/v1/login/azure-ad'
  });
  

• 打印token响应排查错误
  在Hapi的回调路由里，把完整的凭证信息打出来，看看有没有错误提示：

  server.route({
      method: ['GET', 'POST'],
      path: '/api/v1/login/azure-ad',
      config: {
          auth: 'azure-ad',
          handler: async (request, h) => {
              console.log('完整凭证信息:', request.auth.credentials);
              // 如果有error字段，直接看错误描述就能定位问题
              return h.redirect('/');
          }
      }
  });
  

  比如常见的invalid_scope、invalid_grant错误，都会明确告诉你哪里错了。

内容的提问来源于stack exchange，提问作者zlog