未传入userId时ADAL Cordova的acquireTokenAsync调用报错问题

从你的描述来看，这个问题的核心矛盾点在于ADAL文档标注userId为可选参数，但在启用Intune Broker认证的场景下，不传该参数会导致后续OBO（On-Behalf-Of）流程失败。结合我处理类似场景的经验，下面分析可能的原因并给出具体的解决步骤：

一、为什么userId看似可选却必须传入？ #

在Broker认证模式下（比如Intune管控的设备），ADAL Cordova的令牌获取逻辑和普通模式有差异：

• Broker返回的令牌可能缺少oid（对象ID）或sub（用户标识）等核心声明，而OBO流程需要明确的用户标识来验证令牌的上下文关联
• ADAL Cordova的acquireTokenAsync方法在Broker启用时，内部逻辑依赖userId参数来完成用户会话的绑定，即使文档标注可选，实际是针对非Broker场景的

二、具体解决步骤 #

1. 强制获取用户标识并传入acquireTokenAsync #

无论文档是否标注可选，在Broker场景下必须传入userId。可以通过ADAL的getUser方法先获取当前用户信息，再提取userId传入：

// 先获取当前登录用户
adal.getUser()
  .then(user => {
    // 确保userId存在后调用acquireTokenAsync
    if (user && user.userId) {
      return adal.acquireTokenAsync(
        'https://graph.microsoft.com/',
        '你的客户端ID',
        '你的重定向URI',
        user.userId // 必须传入该参数
      );
    } else {
      throw new Error('无法获取用户标识');
    }
  })
  .then(tokenResult => {
    // 将tokenResult.accessToken传给Express中间件做OBO请求
  })
  .catch(err => {
    console.error('令牌获取失败:', err);
  });

2. 验证令牌的核心声明 #

解码你获取到的access_token（可以用JWT解码工具），检查是否包含以下声明：

• oid：用户的Azure AD对象ID
• sub：用户的唯一标识
• nameidentifier：旧版的用户标识
  如果缺少这些声明，需要在ADAL请求中添加openid profile scope，确保Broker返回包含用户标识的令牌：

// 修改acquireTokenAsync调用，添加额外scope
adal.acquireTokenAsync(
  'https://graph.microsoft.com/',
  '你的客户端ID',
  '你的重定向URI',
  user.userId,
  'openid profile' // 添加该参数获取用户标识声明
);

3. 检查OBO请求的参数有效性 #

你的Express中间件向/oauth2/token发起的POST请求，需要确保以下几点：

• assertion参数是ADAL返回的有效access_token（不是id_token）
• resource和scope的权限匹配：你的服务端Azure AD应用必须已获得User.Read、Calendars.ReadWrite等Delegated权限，且已完成管理员同意（如果需要）
• client_id和client_secret属于服务端应用（不是移动端的ADAL应用），且该服务端应用已配置为允许OBO流程

4. 捕获OBO端点的具体错误信息 #

建议在Express中间件中捕获/oauth2/token返回的完整错误响应，比如：

axios.post('https://login.microsoftonline.com/你的租户ID/oauth2/token', formData)
  .then(response => {
    // 处理成功响应
  })
  .catch(error => {
    console.error('OBO请求错误详情:', error.response.data);
    // 常见错误比如invalid_grant、invalid_request等，根据错误描述进一步排查
  });

常见的错误场景包括：令牌过期、权限不足、用户标识缺失等，错误信息会直接指向问题根源。

三、额外的环境配置检查 #

• 确认Intune应用保护策略（APP）没有限制令牌的声明或OBO流程
• 移动端ADAL应用已在Azure AD中配置为允许Broker认证（在应用注册的"认证"页面开启"允许公共客户端流"）
• Cordova平台版本（android 7.1.0、ios 4.5.4）与ADAL Cordova插件版本兼容，建议使用最新的ADAL插件版本

内容的提问来源于stack exchange，提问作者lee whitbeck