无法从基于Java的Rest API访问SharePoint图形API

Question

我们需要通过我们的API层（这里没有Web层）访问Sharepoint（图形）API。我正在尝试通过基于AAD的JavaRest API访问图形API。我已经在Azure中注册了我的应用程序，并且client_id和Secrete。

1. grant_type=authorization_code流量

我尝试过authorization_code流https://learn.microsoft.com/en-us/azure/active-directory/develop/v2-oauth2-auth-code-flow

获取代码从"/o的2/v2.0/授权"，然后与该代码access_token工作正常的Web应用程序中，我们可以登录和接受同意页面"/o的2/v2.0/授权"流。

但是当我试图通过我的API访问它时，它给出了下面的错误:

http://localhost:9090/ping?error=login_required&error_description=AADSTS50058: A silent sign-in request was sent but no user is signed in. The cookies used to represent the user's session were not sent in the request to Azure AD. This can happen if the user is using Internet Explorer or Edge, and the web app sending the silent sign-in request is in different IE security zone than the Azure AD endpoint (login.microsoftonline.com).

Timestamp: 2020-08-07 05:32:10Z&error_uri=https://login.microsoftonline.com/error?code=50058

当我使用 grant_type=client_credentials 生成access_token时，client_id

应用程序访问令牌请求:

curl -X POST \
  https://login.microsoftonline.com/<tennantid>/oauth2/v2.0/token \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d 'grant_type=client_credentials&client_id=< client_id>&client_secret=<client_secret>&scope=https%3A%2F%2Fgraph.microsoft.com%2F.default'

{
    "error": {
        "code": "AccessDenied",
        "message": "Either scp or roles claim need to be present in the token.",
        "innerError": {
            "date": "2020-08-07T06:23:21",
            "request-id": "***-15e3-437d-8297-****"
        }
    }
}

Answer 1

正如Allen Wu几分钟前所评论的，假设您希望您的Java后端访问用户的Sharepoint文件(看起来这就是您想要的)，您基本上不能将“client_credentials”用于此目的。OAuth的概念是使用代表用户生成的令牌，并在Azure中连接/注册的服务中转发/使用它。

您必须做的是坚持您测试的“authorization_code”流，并将您获得的令牌（在您的用户可以看到的某些前端，无论这是什么）转发到您的Java服务/API（在REST客户端中，您将HTTP请求附加给它）。

在Java服务/API中，您提取令牌并将其转发到图形应用编程接口。微软也提供了在使用/转发令牌之前验证令牌的方法。最佳做法是在执行任何其他操作之前，在安全拦截器中对Java服务进行验证。