如何在NativeScript应用中通过Microsoft OAuth实现持久登录？

我明白你的困扰——1小时过期的access_token确实影响用户体验，用refresh_token临时过渡但总觉得不是完美方案。其实微软OAuth2体系里是可以实现近似“永久保持登录”的效果，只是需要调整配置和优化令牌管理逻辑，下面一步步给你拆解：

1. 先确认授权请求的核心范围 #

首先要确保你的OAuth2授权请求里已经包含了offline_access这个范围——这是获取refresh_token的前提，你现在能拿到refresh_token说明已经加了，但还是要提一句，避免后续配置调整后不小心漏掉。

2. 实现自动刷新令牌的逻辑 #

这是实现“保持登录”的核心：不要等用户触发操作时才发现令牌过期，而是在access_token过期前主动用refresh_token去获取新的令牌，并且持久化更新refresh_token。

结合NativeScript的特性，你可以用@nativescript/core的ApplicationSettings来存储令牌和过期时间，然后设置定时器提前刷新：

import { ApplicationSettings } from "@nativescript/core";
import { MsalProvider } from "@nativescript/oauth/msal";

// 初始化你的MSAL提供者（根据你的实际配置调整）
const msalProvider = new MsalProvider({
  clientId: "你的应用ID",
  authority: "https://login.microsoftonline.com/你的租户ID",
  scopes: ["User.Read", "Mail.Send", "Sites.Read.All", "offline_access"]
});

// 刷新令牌的核心函数
async function refreshAuthTokens() {
  const storedRefreshToken = ApplicationSettings.getString("ms_refresh_token");
  if (!storedRefreshToken) return;

  try {
    // 用refresh_token获取新的令牌组
    const refreshResult = await msalProvider.refreshToken(storedRefreshToken);
    
    // 更新本地存储的令牌和过期时间
    ApplicationSettings.setString("ms_access_token", refreshResult.accessToken);
    ApplicationSettings.setString("ms_refresh_token", refreshResult.refreshToken);
    // 计算过期时间戳（当前时间+有效期毫秒数）
    ApplicationSettings.setNumber("ms_expires_at", Date.now() + refreshResult.expiresIn * 1000);
    
    // 重新设置下一次刷新的定时器
    setupRefreshTimer();
  } catch (refreshErr) {
    console.error("令牌刷新失败:", refreshErr);
    // 尝试静默登录（利用系统SSO缓存，用户可能不用输密码）
    try {
      const silentLoginResult = await msalProvider.loginSilent();
      // 更新存储的令牌
      ApplicationSettings.setString("ms_access_token", silentLoginResult.accessToken);
      ApplicationSettings.setString("ms_refresh_token", silentLoginResult.refreshToken);
      ApplicationSettings.setNumber("ms_expires_at", Date.now() + silentLoginResult.expiresIn * 1000);
      setupRefreshTimer();
    } catch (silentErr) {
      // 静默登录也失败，只能引导用户手动登录
      const loginResult = await msalProvider.login();
      // 登录成功后更新存储
      ApplicationSettings.setString("ms_access_token", loginResult.accessToken);
      ApplicationSettings.setString("ms_refresh_token", loginResult.refreshToken);
      ApplicationSettings.setNumber("ms_expires_at", Date.now() + loginResult.expiresIn * 1000);
      setupRefreshTimer();
    }
  }
}

// 设置刷新定时器（提前5分钟触发刷新）
function setupRefreshTimer() {
  const expiresAt = ApplicationSettings.getNumber("ms_expires_at");
  if (!expiresAt) return;

  const timeToRefresh = expiresAt - Date.now() - 5 * 60 * 1000;
  if (timeToRefresh > 0) {
    setTimeout(refreshAuthTokens, timeToRefresh);
  } else {
    // 令牌已经过期，立即刷新
    refreshAuthTokens();
  }
}

// 应用启动时就初始化定时器
setupRefreshTimer();

3. 调整Azure AD应用的会话配置 #

默认的refresh_token有效期是14天，但你可以在Azure门户里把它延长到90天，并且开启滚动刷新——这样每次用refresh_token获取新令牌时，新的refresh_token有效期会重置，只要用户定期使用应用，就能一直延续下去：

• 登录Azure门户 → 找到你的应用注册 → 进入「认证」页面 → 下滑到「会话」区域
• 设置「刷新令牌生命周期」：类型选择「滚动」，最长有效期设为90天
• 确保「允许令牌刷新」选项是开启状态

4. 关于“永久登录”的说明 #

微软出于安全考虑，不会提供真正永久有效的令牌，但通过上面的配置和逻辑，用户只要定期使用你的应用（比如每90天内至少打开一次），就几乎不需要手动重新登录——这已经是近似“保持登录”的最优方案了。只有当用户超过90天未使用，或者令牌被主动撤销时，才需要重新验证身份。

内容的提问来源于stack exchange，提问作者lumayara