当我传递多个范围时，Microsoft Graph 权限范围引发错误

我需要以编程方式将文件上传到 OneDrive。我不会有前端来生成密钥，因为我需要在没有用户交互的情况下生成它们，这就是我的问题。我已经成功地通过一个简单的 POC 做到了这一点，但它必然需要用户交互，因为它使用登录名和密码凭据对 Microsoft 帐户进行身份验证，并且只有在这之后才使用 clientId 和 clientSecret

当我尝试使用生成令牌时@msal-node，它不使用 Azure 中定义的范围。

const msal = require('@azure/msal-node')
const config = require('../config')
const azConfig = {
  auth: {
    clientId: config.azureAppId,
    authority: `https://login.microsoftonline.com/${config.azureTenantId}`,
    clientSecret: config.azureAuthSecret
  }
}

const pca = new msal.ConfidentialClientApplication(azConfig)

return await pca.acquireTokenByClientCredential({
  scopes: [`${config.azureAppId}/.default`]
})

而且我也无法通过新的范围acquireTokenByClientCredential()函数，因为它抛出了一个错误。

const msal = require('@azure/msal-node')
const config = require('../config')
const azConfig = {
  auth: {
    clientId: config.azureAppId,
    authority: `https://login.microsoftonline.com/${config.azureTenantId}`,
    clientSecret: config.azureAuthSecret
  }
}

const pca = new msal.ConfidentialClientApplication(azConfig)

return await pca.acquireTokenByClientCredential({
  scopes: [
    `${config.azureAppId}/.default`,
    'Files.Read'
  ]
})

ServerError: invalid_scope: 70011 - [2021-12-30 01:02:11Z]: AADSTS70011: The provided request must include a 'scope' input parameter. The provided value for the input parameter 'scope' is not valid. The scope api://<azureAppId>/.default Files.Read openid profile offline_access is not valid.

该函数支持的唯一范围是/.default，它不使用 Azure 中添加的权限，当我尝试将范围添加到函数代码中时，它返回一个错误，指出scopes参数无效。

但是，当我使用具有相同凭据的 Postman 生成令牌时，它会起作用并添加访问 OneDrive 所需的范围

很难确切地说如何解决您的问题。我们不知道获取该令牌的目的是什么 - Azure 正在使用身份验证和访问令牌的组合。鉴于您正在定义“Files.Read”范围，您的目标可能是授权用户。

调查后：

https://github.com/AzureAD/microsoft-authentication-library-for-js/blob/2c58d3ff42a04052e16758f5496a30e76b4c39b2/lib/msal-common/docs/request.md https://github.com/AzureAD/microsoft-authentication-library-for-js/blob/2c58d3ff42a04052e16758f5496a30e76b4c39b2/lib/msal-common/docs/request.md

和个人经验，我建议您尝试以下操作：

0. 明确代币的用途以及实现这一目标的最佳位置（FE/BE）。例如，当用户登录或向后端授权请求时，最佳实践是在前端使用 msal 库（在那里获取身份验证令牌）并将后端隐藏在 API 管理服务后面，并配置其策略以授权基于访问令牌的请求 - 也在前端生成。

1. 确保您的应用程序 (Web API) 已在 Active Directory 中注册。 Azure 文档从这里开始：https://learn.microsoft.com/en-us/azure/active-directory/develop/quickstart-create-new-tenant https://learn.microsoft.com/en-us/azure/active-directory/develop/quickstart-create-new-tenant

2. 将相关范围添加到您的注册中：https://learn.microsoft.com/en-us/azure/active-directory/develop/quickstart-configure-app-expose-web-apis https://learn.microsoft.com/en-us/azure/active-directory/develop/quickstart-configure-app-expose-web-apis

3. 在您的代码中，首先为您的范围使用单个值，例如Mail.Read并在尝试多个范围之前先进行测试（即获取令牌）。