通过在Azure AD中使用代表流来限制用户范围

Question

我有一个SPA React应用程序，它使用MSAL登录用户并获取令牌以查询MS Graph。当前，创建用户时，他/她可以有两个不同的角色，即：

• 管理员
• 查看器

照这样，每个用户都可以从AAD获得相同的范围——无论他们是一个角色还是另一个角色。

这带来了一个问题，因为任何用户在调用MS Graph时都可能拥有相同的权限，即他们可以自己获取令牌并请求具有完整作用域的Graph。

查看器角色应该只能具有“User.Read”作用域，而管理员应该能够更改Azure AD的各个方面。

此外，管理员应该能够在MS graph中执行委派权限不支持的操作，即创建新用户。

以下内容让我认为我可能需要重新思考用户从MS graph请求资源的方式——这让我认为代表流将是一个有趣的选择。

正如我想象的那样，流程将如下所示（从用户登录并请求在我的SPA中创建新用户开始）

1. 用户在我的SPA中使用MSAL登录

由于我对这个世界相当陌生，我想知道我的思维方式是否有意义。特别是，我很好奇，是否真的可以代表我的Web API中仅具有“User.ReadWrite.All”、“Directory.ReadWrite.All”作用域的用户请求提升权限。

此外，我有理由对解决上述问题的其他方法提出任何建议。

Answer 1

范围（委托权限）适用于应用程序，而不是用户。从根本上说，无论用户在其令牌中获得什么范围，他们都不能做他们还不能做的任何事情。Microsoft Graph API检查范围以检查应用程序的权限，然后检查用户的权限以查看他们是否也能够执行操作。因此，用户永远无法通过范围提升他们的权限。

如果您有自己的任何API，您也应该以类似的方式处理授权。如果使用范围，还要检查用户的权限。如果有应用程序权限（具有成员类型应用程序的应用程序角色），则没有用户，因此您的API只会检查这些权限。这就是为什么如果您的后端使用应用程序权限而不是代表流，您需要格外小心授权的原因；由于它们不包括用户，因此可以允许他们通过您的应用程序提升权限。