关于使用JavaScript在AAD中自动创建应用注册的可行性咨询

首先直接给你结论：从你尝试的所有授权方式来看，你当前想用自身多租户App Registration来实现插件自动化操作的方案确实走不通，下面咱们逐个拆解每个环节的问题：

各授权尝试的核心障碍 #

• 隐式授权流（Implicit grant flow）完全不可用
  因为你的插件要交付给数百个客户，每个客户还有多个环境，重定向/回复URL根本没法提前预知并配置到你的多租户App Registration里。而隐式流要求所有合法的重定向URI必须预先在App Reg中注册，这就从根源上堵死了这条路。

• C#端的交互限制卡死了用户授权流
  你的C#部分处于“隔离”状态，没法显示Web表单，而ADAL、MSAL.NET的UserInteractive模式必须弹出登录窗口让用户完成身份验证——没有交互界面的话，这种依赖用户操作的授权方式根本跑不起来。

• JS端的授权方案全踩了坑

  • ADAL JS本身就不支持原生客户端场景，只能配合Web应用的重定向URI使用，完全不符合你的插件需求；
  • 用MSAL JS搭配https://login.microsoftonline.com/common/oauth2/nativeclient时，跨域请求限制导致登录后的对话窗口直接和JS失去联系，会话直接挂死；
  • 尝试urn:ietf:wg:oauth:2.0:oob（带外回调）时，哪怕禁用了IE的保护模式，还是会出现“Open an app”的提示——这是因为oob模式现在主要针对桌面应用，浏览器环境下的体验已经被微软限制，根本没法稳定工作。

可以尝试的替代方向 #

既然当前方案走不通，你可以考虑以下几种更适配的思路：

• 让客户提供租户内的服务主体
  要求每个客户在自己的租户中创建一个拥有Directory.ReadWrite.All权限的服务主体，然后让插件使用这个服务主体的客户端ID+密钥（或证书），通过**客户端凭证流（Client Credentials Flow）**调用Graph API。这种方式不需要用户交互，完全适配自动化操作场景。

• 多租户App Registration + 管理员预先同意
  你可以创建一个多租户App Registration，配置Directory.ReadWrite.All的应用程序权限（注意是应用权限，不是委托权限），然后让每个客户的租户管理员预先完成管理员同意。之后插件就可以用客户端凭证流直接调用Graph API，不需要用户登录交互。不过这种方式需要客户管理员的信任，得在插件部署前搞定授权步骤。

• 利用插件宿主平台的内置授权
  如果你的插件是运行在特定平台（比如Microsoft 365插件、Power Platform插件等），可以看看平台本身有没有提供调用Graph API的内置机制——比如利用平台的上下文令牌来获取Graph访问权限，这样就能绕开自己处理复杂OAuth流程的麻烦。

内容的提问来源于stack exchange，提问作者Scorp-D