可能发生此错误的原因列表：OAuth2::Error，invalid_grant：AADSTS65001

Question

我们已经在我们的web应用上实现了Microsoft Azure oauth2，并且我们正在尝试解决用户在使用oauth方法时出现的常见错误。

错误：OAuth2:：error，invalid_grant:AADSTS65001:未为“…”应用程序配置访问用户信息的权限，或者该权限已过期或被吊销。类似于我们在azure oauth流中大约82%的错误。

这是我们的配置：

# ==> Office 365 OAuth2
config.omniauth :azure_oauth2,
  client_id: '...',
  client_secret: '...',
  tenant_id: '...',
  resource: 'https://outlook.office365.com/',
  setup: lambda { |env|
    params = Rack::Utils.parse_query(env['QUERY_STRING'])
    options = env['omniauth.strategy'].options

    case params['state']
    when 'calendar'
      options[:prompt] = 'login'
    when 'select_account'
      options[:prompt] = 'login'
    end 
  }   

我们知道此错误可能由使用非Office 365帐户引起。由于我们的资源是“https://outlook.office365.com/”，并且由于我们的应用程序需要能够与您的日历交互，因此用户必须使用Office 365帐户进行身份验证。其他帐户（如微软实时帐户）会导致此错误。

问题

1-还有什么可能导致此错误？

2-有没有办法限制azure oauth流只允许真正的Office 365登录？

Answer 1

原因是:如果用户被锁定，不得不重置密码或任何其他无效尝试登录Azure AD(根据o365验证用户)将使你的应用程序的刷新令牌无效。因此，应用程序将通过抛出此错误来优雅地处理已更改的密码(旧的刷新令牌)。在这种情况下，您的应用程序应该将用户重定向到授权页面以对用户进行身份验证。

希望这有帮助。