c# - 认证2.0 |水疗 | id_token如何伪装成access_token来访问受限制的网络资源？

Question

我正在致力于将 Azure Active Directory 集成到我的 Angular SPA(或任何 Javascript)应用程序中。应用程序具有前端(使用 JavaScript 构建)和 Web API(使用任何 C# 或任何服务器端语言构建)。

仅供引用，https://github.com/Azure-Samples/active-directory-angularjs-singlepageapp

我知道我在 SPA AAD 注册中配置了 OAuth 2.0 隐式授予。 OAuth 2.0 隐式授权稍微宽松一些，允许 SPA 通过兑换“id_token”来访问与 SPA AAD 注册相关的 Web 资源。

OAuth 2.0 隐式授予协议(protocol):

1. 使用 id_token 的 client_id、资源...访问 Azure Auth 端点
2. 用凭据挑战它
3. 获取 id_token，因为它被发布回 SPA URI。
4. 使用 id_token 作为不记名 token 来访问受限制的网络资源。

SPA 与 id_token 和仅用于内部 Web API 的 OAuth 2.0 隐式授予协议(protocol)配合得很好。

无法从SPA或JS获取access_token的原因:

SPA 无法将 XHR 发送到 Azure token 端点，因为 SPA 被 Azure token 端点的 CORS 策略阻止。因此，SPA XHR无法获取access_token。

但是，Adal.js 的 iFrames 实现可以通过调用跨域 Web 资源来获取 access_token。

看起来这只是 SPA 的特例。

问题:

1. AAD 如何确定“id_token”持有者可以访问哪些网络资源？通过查找与 SPA AAD 注册相关的网络资源？

   [OP] Adal.js 负责拦截我们的回发以接收和存储 id_token 和 access_token 等 token

2. AAD 不能实现以下方法吗？

   • 使用 client_id、资源...重定向到 Azure 身份验证端点以获取身份验证代码。
   • 通过将 Authorization_Code 发布回 SPA URI，从 Azure Auth 端点获取 Authorization_Code。
   • 对于 XHR 到 Azure token 端点，我们不能使用 Auth_Code、client_id、资源等重定向到 Azure token 端点，让 Azure token 端点将 access_token 发回至 redirect_uri？

   [OP] Adal.js 还有其他计划，即使用 iFrame 调用跨域 API(本例中为 Az Auth 端点)并获取访问 token 。

P.S.我需要上述问题的真实答案。此案现已解决:)!

Answer 1

How does AAD determine which web resources that 'id_token' holder can access? By looking up the web resources tied to SPA AAD Registration?

事实并非如此。如果您的 API 配置为接受有效的 AAD token ，并且受众设置为前端应用程序的客户端 ID，它将接受该 token 。但这不是一个好的模式，您应该使用访问 token 来调用 API。

至于您有关访问 token 的问题，前端可以使用重定向或隐藏的 iframe 通过隐式流获取访问 token 。如果您使用 ADAL.js 或 MSAL.js，如果您向他们请求访问 token ，他们会自动为您执行此操作。

本质上，他们打开一个 iframe，该 iframe 会通过以下方式转到/authorize 端点:

• response_type=token
• resource=https%3A%2F%2Fgraph.microsoft.com 或 scope=https%3A%2F%2Fgraph.microsoft.com%2FUser.Read(如果使用) v2/MSAL
• 提示=无

最后一个参数告诉 AAD 不要进行提示(它是一个隐藏的 iframe)。如果用户浏览器中仍然存在有效 session ，并且已针对所请求的范围授予同意，则会返回一个 token ，作为 iframe 内您的 SPA 的重定向。然后，ADAL/MSAL 可以从 iframe URL 获取 token ，因为它们在同一主机名上运行。

由于其工作方式，您需要在 SPA 加载时检查您是否位于 iframe 内，如果是，则根本不渲染应用程序。

不，您不能从 JS 前端调用/token 端点。