无记名令牌适用于ADAL，不适用于MSAL

Question

我有一个受保护的Web API正在运行，我想访问它。在Azure中，应用注册是：

• 具有Web API租户管理员权限的SPA
• Web API没有租户管理员权限，因此请求其id的令牌将返回“应用需要访问资源的权限”错误

我正在尝试获取Web API的承载令牌。问题是它不适用于MSAL，但适用于ADAL。

以下是我的“SPA”的ADAL vanilla JS代码：

window.config = {
   clientId: 'SPA client id',
   tenant: 'Tenant id',
   redirectUri: 'http://localhost:3000',
   extraQueryParameter: 'nux=1',
   popUp: true
};


var authContext = new AuthenticationContext(config);

function getToken(){
    var user = authContext.getCachedUser();
    if (!user) {
        authContext.login();
        return;
    }
    var cachedToken = authContext.getCachedToken(window.config.endpoints.prod);
    if (!cachedToken) {
        authContext.acquireToken("Web API Client Id", function(error, token) {
            console.log(error);
        });
    }
    console.log(cachedToken);
    var t = document.getElementById("token");
    t.innerText = cachedToken;
};

如果我在“邮递员”中复制令牌并执行请求，它将起作用。

MSAL代码如下：

const msalConfig = {
      auth: {
                clientId: "SPA client id",
                authority: "https://login.microsoftonline.com/Tenant id"
            }
        };

const loginRequest = {
       scopes: ["copied the scope of SPA from the Expose API"],
       redirectUri: "http://localhost:3000/"
};
 const myMSALObj = new Msal.UserAgentApplication(msalConfig);
myMSALObj.loginPopup(loginRequest).then(handleResponse).catch(function (error) { console.log(error);});
var tokenRequest = {
             scopes: ["Copied scope from the Web API expose API section"],
            };
            if (!token) {
                myMSALObj.acquireTokenPopup(tokenRequest)
                    .then(response => {
                        console.log(response);
                        setTimeout(function () { 
                        token = response.accessToken;
                    });
    console.log(token);

现在，我注意到了一个不同之处：ADAL允许我在调用acquireToken方法时传递Web Api的客户端Id，而MSAL不允许。找不到关于它的任何文档，但我推测它是从应用程序Id Uri解析的。

第二个区别在于代币索赔aud：

• ADAL aud是Web API客户端Id




Answer 1

匿名用户

应用程序有两个标识符，AppId的形式为xxxxxxx-xxxx-xxxx-xxx-xxxxxxxxxx，AppIdURI由用户提供。

如果我使用范围xxxxxxx-xxxx-xxxx-xxxx-XXXXXXXXXX\user。阅读它的工作原理。我以AppIdURI\user的形式使用范围。阅读。因此，除了aud之外，令牌是相同的，其中ADAL具有客户端Id（又名App Id），MSAL具有AppIdURI。将其更改为AppId，并且可以正常工作。

我不知道为什么应用程序不会接受AppIdUri，因为在“公开API”部分中，作用域被写为AppIdUri/user。阅读。