Azure AD 将访问令牌发送到 Web API

Question

我正在编写一个由两部分组成的 Web 应用程序，一个是使用 msal.js 用 Ja​​vaScript 编写的前端单页应用程序，一个是用 C# ASP.Net Core 2.2 编写的后端 Web API。我已经通过前端的 msal.js 集成了登录。我将访问令牌作为不记名令牌发送到 Web API。

我想知道如何验证令牌以仅授予登录用户访问权限。我还想知道使用访问令牌是否是正确的前进方式，因为我每次都必须请求一个新的，即使我不会使用它来请求 Microsoft 的 API，它只会用于访问内部数据。

这是所需的流程：

Answer 1

您可以使用标准 ASP.NET Core JWT 身份验证来验证令牌。 我有一篇关于这个主题的文章：https://joonasw.net/view/azure-AD-authentication-aspnet-core-api-part-1。

您需要使用类似这样的方式配置身份验证

services
            .AddAuthentication(o =>
            {
                o.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
            })
            .AddJwtBearer(o =>
            {
                o.Authority = Configuration["Authentication:Authority"];
                o.TokenValidationParameters = new Microsoft.IdentityModel.Tokens.TokenValidationParameters
                {
                    // Both App ID URI and client id are valid audiences in the access token
                    ValidAudiences = new List<string>
                    {
                        Configuration["Authentication:AppIdUri"],
                        Configuration["Authentication:ClientId"]
                    }
                };
            });

您还需要检查令牌是否包含至少一个有效范围/权限。

您无需为每次调用获取新令牌，MSAL.js 会在需要时为您处理续订。如果它仍然有效，它只是从缓存中返回它。