验证Microsoft Entra OAuth2的ID Token时出现未知租户问题

核心原因 #

当你使用common作为租户ID的授权地址（https://login.microsoftonline.com/common/v2.0）时，Microsoft Entra返回的ID Token里的iss字段必然是用户实际所属的租户ID，而非common。这是common租户的设计特性——它是多租户统一入口，最终会解析到用户所在的具体租户，所以JWT的issuer一定是具体租户的地址，比如https://login.microsoftonline.com/{user-tenant-id}/v2.0。

你的操作误区 #

后端硬编码指定issuer为common的地址，完全违背了common租户的实际行为，自然验证失败。另外，JWT的iss和应用租户ID不匹配是正常现象：如果你的应用是多租户应用，用户可以从任意租户登录，iss会是用户的租户ID，而非应用注册的租户ID。

解决方法 #

方法1：后端动态验证issuer（推荐，适配多租户场景） #

不要硬编码issuer，而是通过以下方式处理：

• 若使用MSAL后端库（比如MSAL.NET、MSAL Node），库会自动完成issuer验证，只需配置正确的授权地址即可，无需手动指定issuer。
• 若手动验证JWT，请求https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration获取元数据，其中issuer字段是模板https://login.microsoftonline.com/{tenantid}/v2.0，验证时只需确认JWT的iss符合该模板结构即可。

方法2：改用单租户授权地址（适合仅允许自身租户用户登录的场景） #

如果你的应用只面向自身租户内的用户，直接把授权地址换成应用的租户ID，比如https://login.microsoftonline.com/{your-app-tenant-id}/v2.0。此时返回的ID Token中的issuer会固定为这个地址，后端硬编码该地址验证就能通过。

额外注意事项 #

• 前端和后端的授权地址必须保持一致：如果后端用单租户地址，前端也必须同步修改，否则流程会报错。
• 若应用是多租户类型，需在应用注册中把“支持的账户类型”设置为“任何组织目录中的账户”，否则其他租户的用户无法登录。

内容的提问来源于stack exchange，提问作者Julian Wilson