Microsoft 标识平台和 OAuth 2.0 隐式授权流

Microsoft 标识平台支持 OAuth 2.0 规范中所述的 OAuth 2.0 隐式授权流。 隐式授权的定义特征是令牌（ID 令牌或访问令牌）直接从 /authorize 终结点返回，而不是从 /token 终结点返回。 这通常在所谓的“混合流”中用作授权代码流的一部分 - 在 /authorize 请求中检索 ID 令牌以及授权代码。

本文介绍如何直接针对应用程序中的协议进行编程，以从 Microsoft Entra ID 请求令牌。 如果可能，建议你改用受支持的 Microsoft 身份验证库 (MSAL) 来获取令牌并调用受保护的 Web API。 有关使用 MSAL 的代码示例列表，请参阅 Microsoft 标识平台代码示例。

协议图

下图显示了整个隐式登录流的样子，后续各部分详细介绍了每个步骤。

OAuth2 隐式授权的适用方案

只有对于登录流的初始交互式部分（其中缺少第三方 Cookie 不会影响你的应用程序），隐式授权才是可靠的。 此限制意味着，你只应将其用作混合流的一部分，在混合流中，你的应用程序从授权终结点请求代码和令牌。 在混合流中，应用程序会收到可兑换为刷新令牌的代码，从而确保应用的登录会话在一段时间内保持有效。

首选授权代码流

随着一些浏览器取消对第三方 cookie 的支持，隐式授权流不再是一种合适的身份验证方法。 如果没有第三方 Cookie，隐式流的无提示单一登录 (SSO) 功能将不起作用，导致应用程序在尝试获取新令牌时中断。 强烈建议你让所有新的应用程序都使用现在替代隐式流来支持单页应用的授权代码流。 现有单页应用也应该迁移到授权代码流。

隐式授权流的安全问题

隐式授权流适用于服务器可控制安全处理 POST 数据的传统 Web 应用程序。 使用隐式授权流传递令牌的主要方式有两种：一种是将 response_mode 作为 URL 片段返回，另一种是作为查询参数（使用 form POST 和 GET）返回。 在 response_mode=form_post 的隐式流中，令牌通过 HTML 表单 POST 安全地传送到客户端的重定向 URI。 此方法可确保令牌不会在 URL 片段中公开，从而避免通过浏览器历史记录或引荐者标头泄露令牌的风险。

使用 response_mode=fragment 传递令牌时，会出现隐式流的安全问题。 URL 片段是 URL 中 # 符号后面的部分，当浏览器请求新页面时不会发送到服务器，但可供浏览器中运行的 JavaScript 使用。 这意味着令牌会暴露给页面上运行的任何 JavaScript，如果该页面包含第三方脚本，就可能存在安全风险。 SPA 中令牌的这种安全问题也不适用于 form POST 的隐式流。

当使用隐式授权或混合流进行请求时，应何时允许颁发访问令牌或 ID 令牌？

隐式授权和混合流不如其他 OAuth 流安全。 除非绝对必要，否则不应允许在应用注册中使用隐式授权或混合流进行请求时发出访问令牌或 ID 令牌。 如果你（或你的开发人员）在应用程序中使用 MSAL 来实现身份验证和授权，则两个字段都不需要启用。

但是，如果你（或你的开发人员）没有在应用程序中使用 MSAL，则下表概述了应该何时启用访问令牌或 ID 令牌。

发送登录请求

最初将用户登录到应用时，可以发送 OpenID Connect 身份验证请求，并从 Microsoft 标识平台获取 id_token。

// Line breaks for legibility only

https://login.partner.microsoftonline.cn/{tenant}/oauth2/v2.0/authorize?
client_id=00001111-aaaa-2222-bbbb-3333cccc4444
&response_type=id_token
&redirect_uri=http%3A%2F%2Flocalhost%2Fmyapp%2F
&scope=openid
&response_mode=fragment
&state=12345
&nonce=678910

此时，系统会要求用户输入其凭据并完成身份验证。 Microsoft 标识平台确保用户已同意 scope 查询参数中指定的权限。 如果用户未曾同意这些权限的任何一项，则请求用户同意请求的权限。 有关更多信息，请参阅权限、同意和多租户应用。

用户经过身份验证并授予同意后，Microsoft 标识平台将使用 response_mode 参数中指定的方法，将响应返回到位于所指示的 redirect_uri 的应用。

成功的响应

使用 response_mode=fragment 和 response_type=id_token+code 的成功响应如下所示（为方便阅读，包含了换行符）：

GET https://localhost/myapp/#
code=0.AgAAktYV-sfpYESnQynylW_UKZmH-C9y_G1A
&id_token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik5HVEZ2ZEstZnl0aEV1Q...
&state=12345

错误响应

错误响应可能也发送到 redirect_uri ，让应用可以适当地处理：

GET https://localhost/myapp/#
error=access_denied
&error_description=the+user+canceled+the+authentication

以无提示方式获取访问令牌

现在，用户已登录到单页应用，可以通过无提示方式获取访问令牌以调用受到 Microsoft 标识平台保护的 Web API，例如 Microsoft Graph。 即使已使用 token response_type 收到令牌，仍然可以使用此方法获取其他资源的令牌，而无需再次将用户重定向到登录页。

在正常的 OpenID Connect/OAuth 流中，可以通过对 Microsoft 标识平台 /token 终结点进行请求来实现此目的。 你可以在隐藏的 iframe 中进行请求，以获取其他 Web API 的新令牌：

// Line breaks for legibility only

https://login.partner.microsoftonline.cn/{tenant}/oauth2/v2.0/authorize?
client_id=00001111-aaaa-2222-bbbb-3333cccc4444&response_type=token
&redirect_uri=http%3A%2F%2Flocalhost%2Fmyapp%2F
&scope=https%3A%2F%2Fmicrosoftgraph.chinacloudapi.cn%2Fuser.read
&response_mode=fragment
&state=12345
&nonce=678910
&prompt=none
&login_hint=myuser@mycompany.com

有关 URL 中的查询参数的详细信息，请参阅发送登录请求。

https://login.partner.microsoftonline.cn/common/oauth2/v2.0/authorize?client_id={your-client-id}&response_type=token&redirect_uri=http%3A%2F%2Flocalhost%2Fmyapp%2F&scope=https%3A%2F%2Fmicrosoftgraph.chinacloudapi.cn%2Fuser.read&response_mode=fragment&state=12345&nonce=678910&prompt=none&login_hint={username}

借助 prompt=none 参数，此请求立即成功或立即失败，并返回到应用程序。 响应会通过 response_mode 参数中指定的方法发送到位于所指示的 redirect_uri 的应用。

成功的响应

使用 response_mode=fragment 的成功响应如下所示：

GET https://localhost/myapp/#
access_token=eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik5HVEZ2ZEstZnl0aEV1Q...
&state=12345
&token_type=Bearer
&expires_in=3599
&scope=https%3A%2F%2Fmicrosoftgraph.chinacloudapi.cn%2Fdirectory.read

错误响应

错误响应还可能发送到 redirect_uri，因此应用可以适当地对其进行处理。 如果 prompt=none，则预期错误为：

GET https://localhost/myapp/#
error=user_authentication_required
&error_description=the+request+could+not+be+completed+silently

如果在 iframe 请求中收到此错误，用户必须再次以交互方式登录以检索新令牌。 可以选择对应用程序合理的任何方式处理这种情况。

刷新令牌

隐式授权不提供刷新令牌。 ID 令牌和访问令牌很快就会过期，因此应用必须准备好定期刷新这些令牌。 要刷新任一类型的令牌，可以通过使用 prompt=none 参数控制 Microsoft 标识平台的行为，执行前面概述的同一隐藏的 iframe 请求。 要接收新的 ID 令牌，请务必使用 response_type 和 scope=openid 中的 id_token，以及 nonce 参数。

在不支持第三方 Cookie 的浏览器中，这会导致错误，指出没有用户登录。

发送注销请求

OpenID Connect end_session_endpoint 允许应用向 Microsoft 标识平台发送请求以结束用户的会话，并清除 Microsoft 标识平台设置的 Cookie。 要完全将用户从 Web 应用程序注销，应用应结束自己与用户的会话（通常通过清除令牌缓存或删除 Cookie 实现），然后将浏览器重定向到：

https://login.partner.microsoftonline.cn/{tenant}/oauth2/v2.0/logout?post_logout_redirect_uri=https://localhost/myapp/

另请参阅

• 重温 MSAL JS 示例以开始编码。
• 复习授权代码流这种较新的、可取代隐式授权的授权方式。