阻止Entra ID /authorize端点将用户登录到其他Microsoft服务

好问题！这确实是很多企业在集成Entra ID作为OIDC提供商时会碰到的需求——想要独立的应用登录会话，不让这个登录状态自动同步到Office 365等其他微软服务上。我来给你拆解几个可行的实现方案：

1. 在授权请求中添加prompt=login参数 #

默认情况下，Entra ID会复用用户已有的全局微软账户会话来实现SSO，这也是为什么登录你的应用后，其他微软服务会自动登录的核心原因。通过在/authorize请求中加入prompt=login参数，可以强制用户重新输入凭证，即使他们已经有有效的全局会话。

更关键的是，如果你请求的是租户级别的认证（即请求URL中使用你的专属租户ID而非common/consumers这类通用租户标识），Entra ID会优先创建仅针对你的租户的会话，而非全局微软账户会话，这能大幅降低会话被其他微软服务共享的概率。

示例请求片段：

https://login.microsoftonline.com/your-tenant-id/oauth2/v2.0/authorize?
client_id=your-application-id&
response_type=code&
redirect_uri=your-redirect-uri&
scope=openid%20profile&
prompt=login

2. 配置应用级别的会话隔离设置 #

在你的Entra ID应用注册后台，你可以通过会话配置进一步强化隔离效果：

• 进入应用的「认证」->「会话」设置页面
• 缩短「会话令牌生存期」，减少会话被意外复用的时间窗口
• 启用「强制注销时清除应用会话」，确保用户退出你的应用后，关联的会话能被完全清除
• 确保你的应用没有请求任何微软服务相关的权限（比如OfficeGraph.Read、Mail.Read等），这类权限会触发全局会话的关联逻辑

3. 用domain_hint参数限定租户范围 #

在授权请求中加入domain_hint=your-tenant-domain.onmicrosoft.com参数，直接引导用户进入你的租户专属登录页面，而不是通用的微软账户登录入口。这能避免用户不小心使用个人微软账户登录，进一步隔离应用会话与全局微软服务会话。

补充说明 #

要100%完全阻止全局会话的创建是比较困难的，因为微软身份系统的设计核心之一就是SSO。但通过上述方案的组合使用，你可以实现接近完全隔离的应用登录体验：用户登录你的应用后，访问Office 365等其他微软服务时，仍然需要重新输入凭证，不会自动登录。

备注：内容来源于stack exchange，提问作者sharkdarras