Microsoft Graph API令牌验证失败

Question

我会在我的Angular Web应用程序中使用Microsoft Graph API。

首先，我使用msal库进行连接 当我尝试使用我的profil登录时，我收到此错误

我已将我的应用程序配置为官方git示例中提到的应用程序

MsalModule.forRoot({
  clientID: "Tenant ID",
  authority: "https://login.microsoftonline.com/common/",
  redirectUri: "http://localhost:4200/",
  validateAuthority : true,
  popUp: true
}),

认证有效，我得到了令牌。

然后，当我在主页时，我向微软图形API发出第二个请求，以使用该令牌获取用户信息。

getProfile() {
  let header= new Headers();
  let tokenid= sessionStorage.getItem('msal.idtoken'); 
  header.set('Authorization', 'Bearer ' + tokenid)
  let url ="https://graph.microsoft.com/v1.0/me/"
  return this.http.get(url,{headers:header});
}

}

我得到一个401未经授权的错误，并回复：

{
  "error": {
    "code": "InvalidAuthenticationToken",
    "message": "Access token validation failure.",
    "innerError": {
      "request-id": "xxxxxx",
      "date": "2018-10-09T22:58:41"
    }
  }
}

我不知道为什么MG API不接受我的代币，我是否使用了错误的权限url？

更新:我已经明白，实际上我得到的id_token不同于访问令牌。我如何从MSAL库获得访问令牌来调用MS GRAPH API？：

Answer 1

请确保将终结点添加到资源映射配置。请参阅此链接： https://github.com/AzureAD/microsoft-authentication-library-for-js/tree/dev/samples/MSALAngularDemoApp

export const protectedResourceMap:[string, string[]][]=[ ['https://graph.microsoft.com/v1.0/me', ['user.read']] ];

Answer 2

问题是您使用的是id_token而不是访问令牌：

让tokenid=sessionStorage.getItem（'msal.idtoken'）

变成这样：

让Tokenid=sessionStorage.getItem（'msal.token '); // 或msal.accesstoken

更新（根据菲利普的评论）

您需要选择要在应用程序中定位的作用域。因此，看起来您需要用户配置文件，因此您需要添加“同意范围”属性以指定应用程序将使用的范围：

MsalModule.forRoot({
  clientID: "Tenant ID",
  authority: "https://login.microsoftonline.com/common/",
  redirectUri: "http://localhost:4200/",
  validateAuthority : true,
  popUp: true,
  consentScopes: ["user.read"]
}),

Answer 3

根据同一示例，您还可以附加一个HttpInterceptor，该将自动将访问令牌附加到每个（外部）HTTP调用。

通过阅读文档，我发现了以下信息。

consentScopes:允许客户端表达应该同意的期望范围。范围可以来自多个资源/endpoint。在这里传递作用域只会同意它，并且在客户机实际调用API之前不会获得任何访问令牌。如果您仅使用MSAL进行登录(身份验证)，这是可选的。

这表明使用< code>HttpInterceptor不仅可以附加访问令牌，还可以检索它。您看到的令牌可能只是您的应用程序的令牌，但不是Graph API的有效令牌。

在内部，它使用＜code＞getCachedTokenInternal（作用域：数组

您可以尝试复制访问令牌，并查看它在 jwt.ms（Microsoft 提供的 JWT 令牌查看器）或 jwt.io 上的外观。

对Graph有效的任何令牌都应该具有https://graph.microsoft.com的Audience，因此如果您检查令牌（jwt.ms），它至少应该具有此值。

"aud": "https://graph.microsoft.com",