Microsoft Entra(Azure ADD) MSAL库SSO OAuth2登录详解

《Microsoft 标识平台身份验证库 (MSAL) 使用：react+MsalProvider鉴权》 使用起来比较简单，但是交互流程是怎么样的呢？

Microsoft 标识平台支持各种新式应用体系结构的身份验证，所有这些体系结构都基于行业标准协议 OAuth 2.0 或 OpenID Connect。

这里安利下：《单点登录之身份验证与授权：CAS/OAuth/SAML/OpenID》

单页应用

单页应用 (SPA) 前端， Microsoft 标识平台支持这些应用的方式是使用 OpenID Connect 协议进行身份验证，以及使用 OAuth 2.0 定义的两种授权类型之一。

 再安利下《OAuth 2.0 扩展协议之PKCE》

OAuth 2.0交互流程如下

分为三个步骤：

1. 请求授权代码（获取code）

2. 兑换访问令牌的代码（通过code换取accessToken）

3. 使用访问令牌获取用户信息（校验token并获取用户信息，并获取登陆用户信息）

具体教程如下：https://learn.microsoft.com/zh-cn/entra/identity-platform/v2-oauth2-auth-code-flow#refresh-the-access-token

请求授权代码：/oauth2/v2.0/authorize 

https://login.microsoftonline.com/common/oauth2/v2.0/authorize

重定向进入登录页：重定向页面接口，跳转P10登陆窗口，并回调code给 业务

https://login.microsoftonline.com/{tenant}/oauth2/v2.0/authorize?
client_id=00001111-aaaa-2222-bbbb-3333cccc4444
&response_type=code
&redirect_uri=http%3A%2F%2Flocalhost%2Fmyapp%2F
&response_mode=query
&scope=https%3A%2F%2Fgraph.microsoft.com%2Fmail.read
&state=12345
&code_challenge=YTFjNjI1OWYzMzA3MTI4ZDY2Njg5M2RkNmVjNDE5YmEyZGRhOGYyM2IzNjdmZWFhMTQ1ODg3NDcxY2Nl
&code_challenge_method=S256

用户经过身份验证并授予同意后，Microsoft 标识平台将使用 response_mode 参数中指定的方法，将响应返回到位于所指示的 redirect_uri 的应用。

GET http://localhost?
code=AwABAAAAvPM1KaPlrEqdFSBzjqfTGBCmLdgfSTLEMPGYuNHSUYBrq...
&state=12345

发现已经存在登陆态，通过接口https://login.microsoftonline.com/kmsi  返回302重定向返回code

参数说明：

此时，系统会要求用户输入凭据并完成身份验证。 Microsoft 标识平台还将确保用户已同意 scope 查询参数中指定的权限。 如果用户未同意其中的任一权限，就让用户同意所需的权限。 有关详细信息，请参阅 Microsoft 标识平台中的权限和同意。

兑换访问令牌的代码：/oauth2/v2.0/token

https://login.microsoftonline.com/common/oauth2/v2.0/token

通过code换取accessToken：

POST /{tenant}/oauth2/v2.0/token HTTP/1.1
Host: https://login.microsoftonline.com
Content-Type: application/x-www-form-urlencoded

client_id=11112222-bbbb-3333-cccc-4444dddd5555
&scope=https%3A%2F%2Fgraph.microsoft.com%2Fmail.read
&code=OAAABAAAAiL9Kn2Z27UubvWFPbm0gLWQJVzCTE9UkP3pSx1aXxUjq3n8b2JRLk4OxVXr...
&redirect_uri=http%3A%2F%2Flocalhost%2Fmyapp%2F
&grant_type=authorization_code
&code_verifier=ThisIsntRandomButItNeedsToBe43CharactersLong 
&client_secret=sampleCredentia1s

获取 authorization_code 并获取用户授予的权限后，接下来可以兑换 code 以获取资源的 access_token。 通过向 /token 终结点发送 POST 请求来兑换 code

参数说明：

获取用户信息

https://graph.microsoft.com/v1.0/me

通过accessToken获取登陆用户信息，并校验accessToken有效性

import requests
user_info_url = "https://graph.microsoft.com/v1.0/me"
headers = {'Authorization': f'Bearer {access_token}'}
user_info_response = requests.get(user_info_url, headers=headers)
user_info = user_info_response.json()

print(user_info)

完整流程

const axios = require('axios');  
const querystring = require('querystring');  
  
// 替换以下占位符为你的实际值  
const tenantId = '{tenant-id}';  
const clientId = '{client-id}';  
const clientSecret = '{client-secret}';  
const redirectUri = '{redirect-uri}';  
const authorizationCode = '{authorization-code}';  
  
// Step 2: Exchange authorization code for tokens  
const tokenUrl = `https://login.microsoftonline.com/${tenantId}/oauth2/v2.0/token`;  
const tokenPayload = querystring.stringify({  
    grant_type: 'authorization_code',  
    client_id: clientId,  
    redirect_uri: redirectUri,  
    code: authorizationCode,  
    client_secret: clientSecret,  
});  
  
axios.post(tokenUrl, tokenPayload, {  
    headers: {  
        'Content-Type': 'application/x-www-form-urlencoded',  
    },  
})  
.then(tokenResponse => {  
    const accessToken = tokenResponse.data.access_token;  
  
    // Step 3: Get user info using the access token  
    const graphUrl = 'https://graph.microsoft.com/v1.0/me';  
    const config = {  
        headers: {  
            Authorization: `Bearer ${accessToken}`,  
        },  
    };  
  
    return axios.get(graphUrl, config);  
})  
.then(userInfoResponse => {  
    console.log(JSON.stringify(userInfoResponse.data, null, 2));  
})  
.catch(error => {  
    console.error('Error:', error);  
});

转载本站文章《Microsoft Entra(Azure ADD) MSAL库SSO OAuth2登录详解》,
请注明出处：https://www.zhoulujun.cn/html/tools/cloudServices/Azure/9290.html