如何使用 ADAL 令牌使用 Graph API？

Question

在我的 Xamarin.forms 项目中，我使用 ADAL (Microsoft.IdentityModel.Clients.ActiveDirectory) 在 Azure 门户（Auth 1.0 端点）上进行身份验证。那部分工作得很好，但我需要获取用户的安全组。所以我使用这段代码并传递使用 ADAL 接收的令牌：

 HttpClient client = new HttpClient();
 HttpRequestMessage message = new HttpRequestMessage(HttpMethod.Get, "https://graph.microsoft.com/v1.0/me/memberOf");
 message.Headers.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("bearer", token);
 HttpResponseMessage response = await client.SendAsync(message);
 string responseString = await response.Content.ReadAsStringAsync();

我总是得到 StatusCode: 401, ReasonPhrase: 'Unauthorized'。 在我的 azure AD 应用注册中，我添加了 Graph API 和这些权限：

我想我错过了什么。有什么想法吗？

----- 编辑 1 --- 这是我的有效载荷。为了方便起见，我将其更改为图片。我不知道如何在这里发布json

----- 编辑 2 --- 哦！我知道了。我想我需要更多地了解 Azure 登录过程。现在，我遵循 ADAL 和 Azure 的示例，让我在后端记录并使用某些功能。所以登录过程使用：

var authContext = new AuthenticationContext(authority); var authResult = await authContext.AcquireTokenAsync(resource, clientId, uri, platformParams);

其中 authority = https://login.microsoftonline.com/mysite.com，ResourceID 是我的后端应用 ID，clientID 是我的原生应用 ID。所以肖恩是正确的，我不使用 Graph.microsoft.com 来获取令牌。我们有其他方法来实现这一切吗？使用Graph只需要获取用户在应用内调整权限的AD组。

Answer 1

您的评论是正确的。如果您向应用程序添加新权限，则必须要求用户重新同意该应用程序。

您可以通过将 PromptBehavior 设置为 Always 来强制通过 ADAL 重新同意：

platformParams.PromptBehavior = PromptBehavior.Always

或者您可以通过添加查询字符串来简单地修改您的登录 URL 以强制它：

&prompt=consent

在构建应用程序来帮助解决这个问题方面，如果您认为您的应用程序在发布后会更改权限，您可以集成检测Unauthorized 的逻辑，然后发送用户重新同意。

另一个选项是让您的应用跟踪可能需要新的同意提示的更改，并检测用户何时首次使用您的应用程序的这个新版本，并请求他们同意。

在我们新的 App Model V2 中，我们支持 Incremental and Dynamic Consent 的概念，它应该会为您解决这个问题。