oauth-2.0 - Azure AD 客户端凭据流权限授予

Question

使用 Azure AD 客户端凭据流时，如果客户端应用程序未被授予访问所请求资源的权限，oauth2 端点(Azure 广告)是否应该生成不记名 token ？我确信在这种情况下它曾经出错，但我现在看到了不同的行为(现在提供了一个有效的持有者 token ，即使客户端应用程序NOT 没有资源应用程序的权限)。

Answer 1

在使用客户端凭证流时，我们一直允许 token 成为两个服务之间的问题。这种场景基本上就是Daemon Services之间的S2S。

这里需要注意的重要一点是，AAD 的内置授权模型利用了 SCP 和 ROLE 声明，它们出现在 token 中，可以帮助您的 API了解用户授予了哪些权限。

但是，在这种情况下，我们还希望您可以使用自己的授权层。例如，您可以简单地将客户端应用程序的 App ID 列入白名单，以允许它对您的 API 进行 S2S 调用， token 中不存在任何 ROLE 声明。此处的 token 发行行为启用了这种情况。