调用 Web API 的 Web API：获取应用的令牌

Microsoft.Identity.Web 添加了扩展方法，这些方法为调用 Microsoft Graph 或下游 Web API 提供便利服务。 若要详细了解这些方法，请参阅调用 Web API 的 Web 应用：调用 API。 使用这些帮助程序方法，你无需手动获取令牌。

但是，如果你确实想要手动获取令牌，可以通过以下代码以示例方式了解如何使用 Microsoft.Identity.Web 在主控制器中执行此操作。 它使用 REST API（而不是 Microsoft Graph SDK）调用 Microsoft Graph。 通常，无需获取令牌，而是需要生成添加到请求的授权标头。 若要获取授权标头，请通过依赖项注入将 IAuthorizationHeaderProvider 服务注入的构造函数控制器（如果使用 Blazor，则注入页面构造函数），并在控制器操作中使用它。 此接口提供了方法来生成包含协议（持有者、Pop 等）和一个令牌的字符串。 若要获取授权标头来代表用户调用 API，请使用 (CreateAuthorizationHeaderForUserAsync)。 若要获取授权标头来代表应用程序本身调用下游 API，请在守护程序方案中使用 (CreateAuthorizationHeaderForAppAsync)。

控制器方法受 [Authorize] 属性的保护，该属性确保只有经过身份验证的调用可使用 Web API。

[Authorize]
public class MyApiController : Controller
{
    /// <summary>
    /// The web API will accept only tokens 1) for users, 2) that have the `access_as_user` scope for
    /// this API.
    /// </summary>
    static readonly string[] scopeRequiredByApi = new string[] { "access_as_user" };

     static readonly string[] scopesToAccessDownstreamApi = new string[] { "api://MyTodolistService/access_as_user" };

     readonly IAuthorizationHeaderProvider authorizationHeaderProvider;

    public MyApiController(IAuthorizationHeaderProvider authorizationHeaderProvider)
    {
      this.authorizationHeaderProvider = authorizationHeaderProvider;
    }

    [RequiredScopes(Scopes = scopesToAccessDownstreamApi)]
    public IActionResult Index()
    {
        // Get an authorization header.
        IAuthorizationHeaderProvider authorizationHeaderProvider = this.GetAuthorizationHeaderProvider();
        string[] scopes = new string[]{"https://microsoftgraph.chinacloudapi.cn/user.read"};
        string authorizationHeader = await authorizationHeaderProvider.CreateAuthorizationHeaderForUserAsync(scopes);

        return await callTodoListService(authorizationHeader);
    }
}

若要了解关于 callTodoListService 方法的详细信息，请参阅用于调用 Web API 的 Web API：调用 API。

适用于 ASP.NET 的代码类似于为 ASP.NET Core 显示的代码：

• 受 [Authorize] 属性保护的控制器操作会提取控制器的 ClaimsPrincipal 成员的租户 ID 和用户 ID。 （ASP.NET 使用 HttpContext.User。）Microsoft.Identity.Web.OWIN 将扩展方法添加到控制器，从而提供便捷的服务来调用 Microsoft Graph 或下游 Web API，或者获取授权标头甚至令牌。 若要详细了解用于直接调用 API 的方法，请参阅调用 Web API 的 Web 应用：调用 API。 使用这些帮助程序方法，你无需手动获取令牌。

但是，如果你确实想要手动获取令牌或生成授权标头，可查看以下代码了解如何使用 Microsoft.Identity.Web 在控制器中执行此操作。 它使用 REST API 而不是 Microsoft Graph SDK 来调用 API (Microsoft Graph)。

若要获取授权标头，请使用扩展方法 GetAuthorizationHeaderProvider 从控制器获取 IAuthorizationHeaderProvider 服务。 若要获取授权标头来代表用户调用 API，请使用 (CreateAuthorizationHeaderForUserAsync)。 若要获取授权标头来代表应用程序本身调用下游 API，请在守护程序方案中使用 (CreateAuthorizationHeaderForAppAsync)。

控制器方法受 [Authorize] 属性的保护，该属性确保只有经过身份验证的用户可使用 Web 应用。

下面的代码片段显示了 HomeController 的操作，该操作获取一个授权标头来将 Microsoft Graph 作为 REST API 进行调用：

[Authorize]
public class MyApiController : Controller
{
 [AuthorizeForScopes(Scopes = new[] { "https://microsoftgraph.chinacloudapi.cn/user.read" })]
 public async Task<IActionResult> Profile()
 {
  // Get an authorization header.
  IAuthorizationHeaderProvider authorizationHeaderProvider = this.GetAuthorizationHeaderProvider();
  string[] scopes = new string[]{"https://microsoftgraph.chinacloudapi.cn/user.read"};
  string authorizationHeader = await authorizationHeaderProvider.CreateAuthorizationHeaderForUserAsync(scopes);

  // Use the access token to call a protected web API.
  HttpClient client = new HttpClient();
  client.DefaultRequestHeaders.Add("Authorization", authorizationHeader);
  string json = await client.GetStringAsync(url);
 }
}

下面的代码片段显示了 MyApiController 的操作，该操作获取一个访问令牌来将 Microsoft Graph 作为 REST API 进行调用：

[Authorize]
public class HomeController : Controller
{
 [AuthorizeForScopes(Scopes = new[] { "https://microsoftgraph.chinacloudapi.cn/user.read" })]
 public async Task<IActionResult> Profile()
 {
  // Get an authorization header.
  ITokenAcquirer tokenAcquirer = TokenAcquirerFactory.GetDefaultInstance().GetTokenAcquirer();
  string[] scopes = new string[]{"https://microsoftgraph.chinacloudapi.cn/user.read"};
  string token = await await tokenAcquirer.GetTokenForUserAsync(scopes);

  // Use the access token to call a protected web API.
  HttpClient client = new HttpClient();
  client.DefaultRequestHeaders.Add("Authorization", $"Bearer {token}");
  string json = await client.GetStringAsync(url);
 }
}

下面是在 API 控制器的操作中调用的代码示例。 它调用下游 API - Microsoft Graph。

@RestController
public class ApiController {

    @Autowired
    MsalAuthHelper msalAuthHelper;

    @RequestMapping("/graphMeApi")
    public String graphMeApi() throws MalformedURLException {

        String oboAccessToken = msalAuthHelper.getOboToken("https://microsoftgraph.chinacloudapi.cn/.default");

        return callMicrosoftGraphMeEndpoint(oboAccessToken);
    }

}

Python Web API 需要借助中间件来验证从客户端接收的持有者令牌。 然后，Web API 可通过调用 acquire_token_on_behalf_of 方法，使用 MSAL Python 库获取下游 API 的访问令牌。

下面是使用 acquire_token_on_behalf_of 方法和 Flask 框架获取访问令牌的代码示例。 它调用下游 API - Azure 管理订阅终结点。

def get(self):
 
        _scopes = ["https://management.chinacloudapi.cn/user_impersonation"]
        _azure_management_subscriptions_uri = "https://management.chinacloudapi.cn/subscriptions?api-version=2020-01-01"
 
        current_access_token = request.headers.get("Authorization", None)
        
        #This example only uses the default memory token cache and should not be used for production
        msal_client = msal.ConfidentialClientApplication(
                client_id=os.environ.get("CLIENT_ID"),
                authority=os.environ.get("AUTHORITY"),
                client_credential=os.environ.get("CLIENT_SECRET"))
 
        #acquire token on behalf of the user that called this API
        arm_resource_access_token = msal_client.acquire_token_on_behalf_of(
            user_assertion=current_access_token.split(' ')[1],
            scopes=_scopes
        )
 
        headers = {'Authorization': arm_resource_access_token['token_type'] + ' ' + arm_resource_access_token['access_token']}
 
        subscriptions_list = req.get(_azure_management_subscriptions_uri), headers=headers).json()
 
        return jsonify(subscriptions_list)

（高级）从后台应用、API 和服务访问已登录用户的令牌缓存

你可以使用 MSAL 的令牌缓存实现来允许后台应用、API 和服务使用访问令牌缓存，以便在用户不在时代表用户继续执行操作。 如果后台应用和服务需要在用户退出前端 Web 应用后继续代表用户工作，则这样做特别有用。

如今，大多数后台进程都在需要使用用户的数据时使用应用程序权限，而无需用户在场进行身份验证或重新进行身份验证。 由于应用程序权限通常需要管理员同意，这需要特权提升，因此会遇到不必要的摩擦，因为开发人员不打算获得针对其应用的、超出用户最初同意的权限的权限。

GitHub 上的此代码示例演示了如何通过从后台应用访问 MSAL 的令牌缓存来避免这种不必要的摩擦：

从后台应用、API 和服务访问已登录用户的令牌缓存