调用Dynamics 365 Operations JSON自定义服务时遭遇CORS错误

嘿，我之前也踩过几乎一模一样的坑——明明ADAL.js拿到了有效令牌，调用API还是触发CORS错误，大概率不是令牌本身的问题，而是Dynamics 365侧的配置或者请求细节没做对。咱们一步步来排查解决：

1. 优先检查Dynamics 365的CORS白名单配置 #

这是最常见的触发原因，Dynamics默认不会允许任意前端域名发起跨域请求，你需要在后台完成配置：

• 进入系统管理 > 设置 > 跨域资源共享 (CORS)
• 添加你的SPA应用完整域名（比如https://your-spa-domain.com），注意要包含正确的协议（http/https）和非标准端口（如果有的话）
• 勾选你需要用到的HTTP方法（GET/POST等），以及允许的请求头（比如Authorization、Content-Type这些核心头）

2. 验证令牌的受众与权限是否匹配 #

ADAL.js拿到的令牌可能存在受众不对的情况，导致Dynamics拒绝请求：

• 用浏览器控制台或JWT解码工具解析令牌，查看aud字段，必须严格匹配你的Dynamics 365实例URL（比如https://your-dynamics-instance.sandbox.operations.dynamics.com）
• 检查scp或roles字段，确认包含访问自定义服务所需的权限（比如对应自定义服务的安全角色权限）
• 确保ADAL.js初始化时的resource参数设置的是Dynamics实例URL，而非Azure AD应用的客户端ID

3. 修正请求头的正确设置 #

你的XMLHttpRequest代码可能漏掉了关键请求头，或者格式有误，这里给你补全并修正后的示例：

// 假设已通过ADAL.js获取到有效令牌token
var token = adalContext.getCachedToken("https://your-dynamics-instance.sandbox.operations.dynamics.com");

var req = new XMLHttpRequest();
req.open("GET", "https://your-dynamics-instance.sandbox.operations.dynamics.com/api/services/YourCustomService/YourOperation", true);
// 必须携带的核心请求头
req.setRequestHeader("Authorization", "Bearer " + token);
req.setRequestHeader("Content-Type", "application/json");

req.onload = function() {
  if (req.status >= 200 && req.status < 400) {
    // 处理成功响应
    var data = JSON.parse(req.responseText);
    console.log("请求成功:", data);
  } else {
    console.error("API请求失败:", req.statusText);
  }
};

req.onerror = function() {
  console.error("网络错误或CORS配置问题");
};

req.send();

4. 处理预检OPTIONS请求 #

如果你的请求是复杂请求（比如带自定义头、POST非form-data格式），浏览器会先发送OPTIONS预检请求，Dynamics需要正确响应：

• 确保Dynamics的CORS配置允许OPTIONS方法
• 检查Dynamics服务器返回的响应头，是否包含Access-Control-Allow-Origin（匹配你的SPA域名）、Access-Control-Allow-Methods、Access-Control-Allow-Headers
• 本地开发时（比如http://localhost:3000），要把这个本地域名也添加到Dynamics的CORS白名单里

5. 核对ADAL.js的初始化配置 #

最后再确认下ADAL的初始化参数，避免基础配置错误：

var adalContext = new AuthenticationContext({
  clientId: "你的Azure AD应用客户端ID",
  authority: "https://login.microsoftonline.com/你的租户ID",
  resource: "https://your-dynamics-instance.sandbox.operations.dynamics.com", // 必须是Dynamics实例URL
  redirectUri: "https://your-spa-domain.com/callback",
  cacheLocation: "localStorage"
});

如果以上步骤都检查过还是有问题，打开浏览器开发者工具的Network面板：

• 查看OPTIONS请求的响应状态码，403/404说明Dynamics侧CORS配置有误
• 查看目标请求的响应头，确认Access-Control-Allow-Origin是否匹配你的SPA域名
• 检查请求头里的令牌是否正确携带

内容的提问来源于stack exchange，提问作者Mirza Danish Baig