使用 Azure AD 对反应应用程序和后端应用程序进行身份验证（python）

Question

我能够使用 AAD 对 React 应用程序进行身份验证，并且能够获取访问令牌。

我有以下问题：

1. 我的后端在 python 烧瓶（WEB API）中。如何确保 react 应用发送的每个请求也使用相同的令牌进行身份验证？

2. 我应该为后端注册不同的应用程序（python flask）还是可以使用相同前端应用程序的客户端 ID？

3. 如果我在从前端调用每个 API 请求时在标头中传递令牌，后端将如何验证令牌是否有效？另外，它是否应该验证每个 API 请求？

我已经看到了多个选项，例如 flask-azure-oauth 库和其他一些库。对于前端，我尝试过 ADAL 和 MSAL 库。

Answer 1

1. 在前端确保您在每个 HTTP 请求中附加 accessToken，编写一个通用 HTTP 模块并在整个反应应用程序中使用它。为了确保您的应用使用相同的令牌进行身份验证，您需要使用 adal 或 MSAL 或 react-adal 包装 react 应用。
2. 您必须使用与您在 Python 后端的 react 应用程序中使用的相同的 client id，以便验证您在 API 请求中发送的令牌。
3. 您需要在flask中添加before_request钩子并验证您在请求中收到的accessToken。 reference link

您还可以查看react-adal 包进行 AAD 身份验证。