从Office 365启动的Web应用的Azure Active Directory流程

Question

对于需要调用Microsoft Graph API并从Office 365应用程序启动程序启动的单个租户web应用程序，我将使用哪种Azure Active Directory身份验证流？

Office 365使用与web应用相同的租户，我使用的是Azure AD v1endpoint。我尝试的示例不适用于此场景，因为它预期用户尚未登录。

我试了这个例子:https://github.com/microsoftgraph/aspnetcore-connect-sample

当直接转到应用程序时，它可以正常工作，但在Office 365应用程序启动器中单击其图标会立即显示以下错误:

Exception: OpenIdConnectAuthenticationHandler: message.State is null or empty.

解决方案是将用户注销并重新进行身份验证，以便获取要缓存的授权代码，还是应改用“代表”流？

Answer 1

我能够通过添加Microsoft Graph URI作为OpenID Connect中间件的资源设置来解决问题。

现在，在启动应用程序时，会发送一个授权代码，我可以将其存储在令牌缓存中，稍后用于向图形 API 进行身份验证。

Answer 2

您似乎直接为应用程序的主页 URL 设置了登录 URL，而无需 state 参数。

要解决此问题，建议设置应用程序的主页。例如，此代码示例应为< code > https://localhost:44334 。如果您希望保护web应用程序并仅允许经过身份验证的用户访问，我们可以替换如下所示的< code>ConfigureServices方法中的代码，并删除< code>Home控制器中的< code>AllowAnonymous属性:

services.AddMvc(config =>
{
    var policy = new AuthorizationPolicyBuilder()
                     .RequireAuthenticatedUser()
                     .Build();
    config.Filters.Add(new AuthorizeFilter(policy));
});

之后，当你通过 Office 365 应用门户访问应用时，它将首先重定向用户登录，然后他们才能访问该应用。