Azure Active Directory B2C 中的 OAuth 2.0 授权代码流

可使用 OAuth 2.0 授权代码向设备上安装的应用授权，获取访问受保护资源（例如 Web API）的权限。 通过使用 OAuth 2.0 的 Azure Active Directory B2C (Azure AD B2C) 实现，可向单页应用、移动应用和桌面应用添加注册、登录和其他标识管理任务。 本文介绍如何不使用任何开放源代码库而发送和接收 HTTP 消息。 本文与语言无关。 如果可能，建议使用受支持的 Microsoft 身份验证库 (MSAL)。 查看使用 MSAL 的示例应用。

OAuth 2.0 规范第 4.1 部分描述了 OAuth 2.0 授权代码流。 可在大多数应用程序类型中将其用于身份验证和授权，包括 Web 应用、单页应用程序和本机安装的应用程序。 可使用 OAuth 2.0 授权代码流安全地获取应用程序的访问令牌和刷新令牌，这些令牌可用于访问受到授权服务器保护的资源。 刷新令牌允许客户端在访问令牌到期后（通常在一小时后）获取新的访问（和刷新）令牌。

本文重点介绍公共客户端 OAuth 2.0 授权代码流。 公共客户端是那些不能被信任以安全维护机密密码完整性的任何客户端应用程序。 这包括单页应用程序、移动应用、桌面应用程序，以及不在服务器上运行的几乎所有应用程序。

Azure AD B2C 扩展了标准 OAuth 2.0 流，使其功能远远超出了简单的身份验证和授权。 它引入了用户流。 借助用户流，可使用 OAuth 2.0 向应用程序添加用户体验，例如注册、登录和配置文件管理。 使用 OAuth 2.0 协议的标识提供者包括 Microsoft Entra ID、QQ、微信和微博。

若要尝试本文中的 HTTP 请求，请执行以下操作：

1. 将 {tenant} 替换为 Azure AD B2C 租户的名称。
2. 将 90c0fe63-bcf2-44d5-8fb7-b8bbc0b29dc6 替换为之前在 Azure AD B2C 租户中注册的应用程序的应用程序 ID。
3. 将 {policy} 替换为在租户中创建的策略的名称，例如 b2c_1_sign_in。

单页应用所需的重定向 URI 设置

单页应用程序的授权代码流需要一些其他设置。 按照创建单页应用程序的说明将重定向 URI 正确地标记为已为 CORS 启用。 若要更新现有重定向 URI 以启用 CORS，可以在“应用注册”的“身份验证”选项卡的“Web”部分中单击迁移提示。或者，可以打开“应用注册清单编辑器”，并在 replyUrlsWithType 部分中将重定向 URI 的 type 字段设置为 spa。

spa 重定向类型与隐式流向后兼容。 当前使用隐式流来获取令牌的应用可以移动到 spa 重定向 URI 类型，而不会出现问题，并会继续使用隐式流。

1.获取授权代码

授权代码流始于客户端将用户定向到 /authorize 终结点。 这是授权代码流中用户会执行操作的交互部分。 在此请求中，客户端指示在 scope 参数中需要从用户处获取的权限。 以下示例（为增强可读性，有换行符）演示如何获取授权代码。 如果要测试此 GET HTTP 请求，请使用浏览器。

GET https://{tenant}.b2clogin.cn/{tenant}.partner.onmschina.cn/{policy}/oauth2/v2.0/authorize?
client_id=90c0fe63-bcf2-44d5-8fb7-b8bbc0b29dc6
&response_type=code
&redirect_uri=urn%3Aietf%3Awg%3Aoauth%3A2.0%3Aoob
&response_mode=query
&scope=90c0fe63-bcf2-44d5-8fb7-b8bbc0b29dc6%20offline_access%20https://{tenant-name}/{app-id-uri}/{scope}
&state=arbitrary_data_you_can_receive_in_the_response
&code_challenge=YTFjNjI1OWYzMzA3MTI4ZDY2Njg5M2RkNmVjNDE5YmEyZGRhOGYyM2IzNjdmZWFhMTQ1ODg3NDcxY2Nl
&code_challenge_method=S256

此时，要求用户完成用户流的工作流。 这可能涉及用户输入其用户名和密码、使用社交标识登录、注册目录，或任何其他步骤。 用户操作取决于用户流是如何定义的。

用户完成用户流后，Microsoft Entra ID 会在你用于 redirect_uri 的值处将响应返回到应用。 它使用在 response_mode 参数中指定的方法。 对于每种用户操作情况，响应完全相同，与执行的用户流无关。

使用 response_mode=query 的成功响应如下所示：

GET urn:ietf:wg:oauth:2.0:oob?
code=AwABAAAAvPM1KaPlrEqdFSBzjqfTGBCmLdgfSTLEMPGYuNHSUYBrq...        // the authorization_code, truncated
&state=arbitrary_data_you_can_receive_in_the_response                // the value provided in the request

错误响应也可能发送到重定向 URI，让应用能够对其进行适当处理：

GET urn:ietf:wg:oauth:2.0:oob?
error=access_denied
&error_description=The+user+has+cancelled+entering+self-asserted+information
&state=arbitrary_data_you_can_receive_in_the_response

2.获取访问令牌

现在，已获取授权代码，可将 POST 请求发送到 /token 终结点，兑换 code 来获取所需资源的令牌。 在 Azure AD B2C 中，可以像往常一样通过在请求中指定其他 API 的范围来为这些 API 请求访问令牌。

还可以按照将应用的客户端 ID 用作所请求范围（这将导致具有该客户端 ID 的访问令牌作为“受众”）的约定，为应用自己的后端 Web API 请求访问令牌：

POST https://{tenant}.b2clogin.cn/{tenant}.partner.onmschina.cn/{policy}/oauth2/v2.0/token HTTP/1.1

Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&client_id=90c0fe63-bcf2-44d5-8fb7-b8bbc0b29dc6
&scope=90c0fe63-bcf2-44d5-8fb7-b8bbc0b29dc6 offline_access
&code=AwABAAAAvPM1KaPlrEqdFSBzjqfTGBCmLdgfSTLEMPGYuNHSUYBrq...
&redirect_uri=urn:ietf:wg:oauth:2.0:oob
&code_verifier=ThisIsntRandomButItNeedsToBe43CharactersLong 

如果要测试此 POST HTTP 请求，可以使用任何 HTTP 客户端，例如 Microsoft PowerShell。

成功令牌响应如下所示：

{
    "not_before": "1442340812",
    "token_type": "Bearer",
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik5HVEZ2ZEstZnl0aEV1Q...",
    "scope": "90c0fe63-bcf2-44d5-8fb7-b8bbc0b29dc6 offline_access",
    "expires_in": "3600",
    "refresh_token": "AAQfQmvuDy8WtUv-sd0TBwWVQs1rC-Lfxa_NDkLqpg50Cxp5Dxj0VPF1mx2Z...",
}

错误响应如下所示：

{
    "error": "access_denied",
    "error_description": "The user revoked access to the app.",
}

3.使用令牌

现在你已成功获取访问令牌，可通过在 Authorization 标头中加入令牌的方式，在后端 Web API 请求中使用该令牌：

GET /tasks
Host: mytaskwebapi.com
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik5HVEZ2ZEstZnl0aEV1Q...

4.刷新令牌

访问令牌和 ID 令牌的生存期较短。 过期后，必须将其刷新才能继续访问资源。 在刷新访问令牌时，Azure AD B2C 会返回新令牌。 刷新的访问令牌将更新 nbf（不早于）、iat（颁发时）和 exp（过期）声明值。 所有其他声明值将与最初颁发的访问令牌相同。

要刷新令牌，请向 /token 终结点提交另一个 POST 请求。 这次提供的是 refresh_token 而不是 code：

POST https://{tenant}.b2clogin.cn/{tenant}.partner.onmschina.cn/{policy}/oauth2/v2.0/token HTTP/1.1

Content-Type: application/x-www-form-urlencoded

grant_type=refresh_token
&client_id=90c0fe63-bcf2-44d5-8fb7-b8bbc0b29dc6
&scope=90c0fe63-bcf2-44d5-8fb7-b8bbc0b29dc6 offline_access
&refresh_token=AwABAAAAvPM1KaPlrEqdFSBzjqfTGBCmLdgfSTLEMPGYuNHSUYBrq...
&redirect_uri=urn:ietf:wg:oauth:2.0:oob

成功令牌响应如下所示：

{
    "not_before": "1442340812",
    "token_type": "Bearer",
    "access_token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik5HVEZ2ZEstZnl0aEV1Q...",
    "scope": "90c0fe63-bcf2-44d5-8fb7-b8bbc0b29dc6 offline_access",
    "expires_in": "3600",
    "refresh_token": "AAQfQmvuDy8WtUv-sd0TBwWVQs1rC-Lfxa_NDkLqpg50Cxp5Dxj0VPF1mx2Z...",
}

错误响应如下所示：

{
    "error": "access_denied",
    "error_description": "The user revoked access to the app.",
}

使用自己的 Azure AD B2C 目录

若要自行尝试这些请求，请完成以下步骤。 使用自己的值替换本文中使用的示例值。

1. 创建 Azure AD B2C 目录。 在请求中使用目录的名称。
2. 创建应用程序，获取应用程序 ID 和重定向 URI。 在应用中包含本机客户端。
3. 创建用户流以获取用户流名称。