无法从OAuth 2.0授权代码流获取访问令牌

Question

我正在尝试在多租户应用程序中实现 OAuth 2.0 授权代码流。

我首先在 login.microsoftonline.com/organizations/oauth2/v2.0/authorize 请求了“openid 配置文件电子邮件”范围的授权，然后使用我获得的代码以及 grant_type=authorization_code、client_id、client_secret redirect_uri 作为访问令牌 login.microsoftonline.com/organizations/oauth2/v2.0/token

我得到的响应只包含< code>id_token和< code>token_type=Bearer。为什么没有给我< code>access_token和< code>expired_at字段？

我尝试在令牌调用中再次提供范围，但响应返回相同。规范说它应该包含访问令牌。我也尝试了/常见endpoint，但事情是一样的。

Answer 1

您正在使用Azure AD v2.0终结点。您可以通过您的url中包含v2.0这一事实来判断这一点。

在v2.0endpoint中，如果您仅请求id_token中包含的范围(即openid配置文件电子邮件)，而不请求任何其他范围(即https://outlook.office.com/contacts.read)，您将仅获得一个id_token。这是因为你基本上是在告诉Azure AD你只想要个人资料信息，而不是和任何API对话，因此不需要访问令牌。

另一方面，如果你包含一个 api 的范围（即 https://outlook.office.com/contacts.read），你会得到一个access_code。