Azure AD：id_token 作为不记名令牌

Question

我在 Azure AD 中注册了一个应用程序。

如果我在 Web API 级别和客户端（SPA 应用程序）级别使用相同的Application ID ，为什么这两个 Azure AD 身份验证库

（用于 Azure AD v1 的ADAL JS和用于 Azure AD v2 的MSAL.js ）

调用 Web API 时使用ID token作为不记名令牌，而不是请求和使用access token ？ 这不违反规范吗？

Answer 1

根据官方文档，这可能是您的情况。

“Azure AD 中的 OAuth 2.0 隐式流旨在在请求令牌的资源与客户端应用程序相同时返回 ID 令牌。换句话说，当 JS 客户端使用 ADAL JS 请求令牌时它自己的后端Web API注册了与客户端相同的App ID，库会返回一个ID令牌并缓存。注意，在这种情况下，资源应设置为客户端的App ID（App ID URI将不起作用） 。然后，此 ID 令牌可用作对应用程序后端 API 的调用中的不记名令牌。”

您可以在此处找到更多相关信息！

https://github.com/AzureAD/azure-activedirectory-library-for-js/wiki/Acquire-tokens