如何在单页应用中正确获取 Microsoft Graph 的访问令牌与刷新令牌

本文详解在 javascript 单页应用（spa）中调用 microsoft identity platform 时，因认证流程误用导致“cross-origin token redemption is permitted only for the 'single-page application' client-type”错误的根本原因与标准解决方案。

该错误明确指出：跨域令牌兑换（即前端直接向 /token 端点发起 POST 请求换取 access_token 和 refresh_token）仅被允许用于注册为“单页应用（SPA）”类型的客户端，且必须严格配合符合规范的授权码流（Authorization Code Flow with PKCE）。

❌ 常见错误：误用 Client Credentials 流或传统 Authorization Code 流

许多开发者在前端 JavaScript 中尝试直接向 https://login.microsoftonline.com/{tenant}/oauth2/v2.0/token 发起请求，并在 body 中传入 client_secret、grant_type=authorization_code 等参数——这本质上是将后端机密客户端（Web 应用）的流程错误地搬到了前端。由于浏览器环境无法安全存储 client_secret，Azure AD 明确拒绝此类跨域 token 请求，并抛出该错误。

⚠️ 注意：即使你在 Azure 门户中同时为应用配置了 “SPA” 和 “Web” 平台，实际请求行为决定校验逻辑。若请求携带 client_secret 或未启用 PKCE，系统仍按“非 SPA”方式校验并拒绝。

✅ 正确方案：使用 PKCE 增强的 Authorization Code Flow（推荐 MSAL.js）

现代 SPA 必须采用 Authorization Code Flow with PKCE（RFC 7636），它无需 client_secret，而是通过动态生成的 code_verifier/code_challenge 保障授权码安全性。最佳实践是使用官方 SDK：

Khroma

AI调色盘生成工具

下载

示例：使用 MSAL Browser（v2.4+）获取 token（含自动刷新）

import { PublicClientApplication } from "@azure/msal-browser";

const msalConfig = {
  auth: {
    clientId: "YOUR_SPA_CLIENT_ID",
    authority: "https://login.microsoftonline.com/YOUR_TENANT_ID",
    redirectUri: window.location.origin,
  },
  cache: {
    cacheLocation: "sessionStorage",
    storeAuthStateInCookie: false,
  }
};

const msalInstance = new PublicClientApplication(msalConfig);

// 登录并获取 token（自动处理 PKCE、缓存、静默刷新）
async function acquireToken() {
  try {
    const loginResponse = await msalInstance.loginPopup({
      scopes: ["https://graph.microsoft.com/User.Read"]
    });

    const tokenResponse = await msalInstance.acquireTokenSilent({
      account: loginResponse.account,
      scopes: ["https://graph.microsoft.com/User.Read"],
      forceRefresh: false // 设为 true 可强制刷新（触发后台 refresh_token 流）
    });

    console.log("Access Token:", tokenResponse.accessToken);
    // ✅ refresh_token 由 MSAL 内部安全管理，不暴露给 JS；token 刷新全自动完成
  } catch (error) {
    console.error("Token acquisition failed:", error);
  }
}

关键要点：

• ✅ PublicClientApplication 专为 SPA 设计，默认启用 PKCE，无需手动构造 code_verifier；
• ✅ acquireTokenSilent() 在后台静默调用 /token 端点，使用 refresh_token 换取新 access_token，全程不暴露敏感凭据；
• ✅ 所有 token 存储在内存或 sessionStorage（可配），绝不依赖 client_secret；
• ❌ 不要自行实现 /authorize → /token 的原始 HTTP 调用链（尤其避免在前端发送 client_secret）。

? 补充验证：Azure 门户配置检查清单

确保应用注册满足以下全部条件：

• 平台配置：仅启用 Single-page application (SPA)，填写正确的重定向 URI（如 http://localhost:3000 或 https://yourdomain.com）；
• API 权限：在 “API permissions” 中添加 User.Read 等所需 Graph 权限，并完成管理员同意（如需）；
• 隐式流：禁用 “Implicit grant and hybrid flows”（已弃用，MSAL v2 不需要）；
• Client ID 复用：不要为同一应用混用 Web（含 secret）和 SPA 平台的 client_id —— SPA 必须使用独立的、仅注册为 SPA 类型的 client_id。

✅ 总结

遵循以上方案，即可安全、合规地在浏览器中获取并自动刷新 Microsoft Graph 访问令牌，彻底规避该跨域令牌兑换限制错误。