如何使用@microsoft/teamsfx 刷新 id-token

Question

我通过自定义 Teams 工具包中的 SSO React 应用程序示例创建了一个 Teams 选项卡应用程序。该应用程序将用户重定向到我们的网站（在其中一个选项卡内）。我可以在 React (teamsfx.getCredentials().getToken("")) 中获取 id-token，并通过查询参数将其传递给我们的 Web 应用程序。

这个 id-token 经过验证，然后传递到构成我们后端的各种微服务。

这部分运行良好，但随后，我们需要刷新令牌。因此，我们决定让 Web 应用程序（用 Angular 编写）使用 @microsoft/teamsfx 和 @microsoft/teams-js npm 包获取令牌。

虽然我不确定这是否是要走的路，但当我在角度服务中执行以下代码时，它会抛出“SDK初始化超时“ 错误。

    try {
      const teamsFx: TeamsFx = new TeamsFx(IdentityType.User, {         
        "clientId": "ee89fb47-a378-4096-b893-**********",
        "objectId": "df568fe9-3d33-4b22-94fc-**********",
        "oauth2PermissionScopeId": "4ce5bb24-585a-40d3-9891-************",
        "tenantId": "5d65ee67-1073-4979-884c-**************",
        "oauthHost": "https://login.microsoftonline.com",
        "oauthAuthority": "https://login.microsoftonline.com/5d65ee67-1073-4979-884c-****************",
        "applicationIdUris": "api://localhost/ee89fb47-a378-4096-b893-***************",
        "frontendEndpoint": "https://localhost",
        "initiateLoginEndpoint": "https://localhost:8101"
      });

      const creds = await teamsFx.getCredential().getToken('https://graph.microsoft.com/User.Read');
      const token = creds?.token;

      console.log("New Token: ", token);

      const expirationTimestamp = creds?.expiresOnTimestamp;
      this.scheduleRefresh(expirationTimestamp);
      this.tokenRefreshed.next({ token: token, expiresOnTimestamp: expirationTimestamp });
    }
    catch (error) {
      console.error("Error in getNewTeamsToken(): ", error);
    }

我在这里遗漏了什么，或者方法本身是错误的吗？请指教。

Answer 1

Teams 基本上只是在幕后使用MSAL（我认为还有一些其他东西）来获取令牌。如果您希望能够验证您的用户外部对于 Teams，在单独的 Web 应用程序中，您可以自己简单地使用 MSAL（我猜是这样的：https://learn.microsoft.com/en-us/azure/active-directory/develop/tutorial-v2-angular-auth-code）。

从本质上讲，这意味着您有一个选项卡 Web 应用程序，执行 Teams SSO，然后有一个单独的独立 Angular 应用程序执行直接 MSAL 身份验证。你标签应用程序真的做任何事情吗？如果不是，并且您只是使用它来重定向，您可以将它们组合到一个应用程序中，并在应用程序中检测您是否在 Teams 中 - 如果您在 Teams 中，请使用 TeamsFX 进行 SSO。如果没有，直接做MSAL登录。 This link 展示了如何检测您是否在团队内部。

如果您想继续使用单独的应用程序，那很好，但我绝对不会将令牌作为 QueryString 参数传递 - 这是非常危险的。首先，令牌根本不应该像这样传递，因为它们可能会被拦截。其次，将它们传递给 Querystring 意味着它们是完全打开 - 中间的任何东西都可以嗅探地址并提取您的令牌（例如，如果它是带有 httpS 的 POST 有效负载，至少“S”会在浏览器和服务器之间加密令牌）。