为什么 Microsoft Graph 令牌流突然请求允许或同意随时离线访问/访问您的数据？答案

【问题标题】：Why is Microsoft Graph token flow suddenly requesting permission or consent for offline access/access your data anytime?为什么 Microsoft Graph 令牌流突然请求允许或同意随时离线访问/访问您的数据？
【发布时间】：2018-10-25 20:33:17
【问题描述】：

响应类型为token id_token 范围是openid email profile User.Read Files.ReadWrite.All Files.ReadWrite.AppFolder Sites.Read.All Contacts.Read

我曾经使用http://calebb.net/ 来验证范围是否正确，但不知何故，当我使用新用户登录 Web 应用程序时。登录请求新权限，随时访问您的数据列在所需权限中。我找不到该应用程序有什么问题，如果我没记错的话，几个月前它就可以工作了。

"token" 显示 1.0 版，"id_token" 显示 2.0 版我使用https://apps.dev.microsoft.com/ 门户注册了该应用。

Request/Auth:
client_id   **d2abdd-2363-4ff9-b597-77d41e0*****
nonce   636758137819125046.ZmQ3OTA2MGYtNjE1ZC00YjJiLTk0OTItMmE3MmUwN2VjN2ExZTEwYzMzYjUtMzM5ZS00ZDA1LTk2NGItYmE1ZTNmZjExZmY2
redirect_uri    http://localhost:50214/
response_mode   form_post
response_type   token+id_token
scope   openid+email+profile+User.Read+Files.ReadWrite.All+Files.ReadWrite.AppFolder+Sites.Read.All+Contacts.Read
state   OpenIdConnect.AuthenticationProperties=pfKy_eqtfN6mMb8xCkPVmgd1VTcFUuYBvTe5Qu7TXV3nY4y92AfdJPj2kkr***************R5Co8AxcuHV6gZXLhfr-IMQ8jwpl4uKoeJ-5Rr-5RFs4Aty_Q_7rHMJD8Ipvhyi2-T5K7c5zAGhbfaTAt_FAkCzuEfFMsCpRiU4SAFTouvbX5NvYrT_KMzivp62mTBaLXdvDAS2Vehhkz1fXxQ8
x-client-SKU    ID_NET
x-client-ver    1.0.40306.1554

openid作用域是否默认添加离线作用域？

【问题讨论】：

没有错误，只是请求新用户登录的新权限？并且同意后，新用户就可以登录了？
@SunnySun-MSFT 是的，一切正常。没有任何问题，但客户害怕我们为什么需要在不使用时随时访问您的数据。

标签： azure-active-directory microsoft-graph-api

【解决方案1】：

没什么好担心的。这是每一个新用户的必备体验，这一步是让新用户同意应用。

Azure AD 提示用户同意并显示其运行所需的权限。同意对话框中显示的权限集与在 Azure 门户的委派权限中选择的权限集相匹配。详情可以阅读here。

【讨论】：

但是之前的token流没有使用离线权限。问题是“随时访问您的数据”。你的意思是微软已经改变了，所以总是需要离线权限？
离线权限意味着即使用户没有登录也可以读取用户数据。如果不选择，则只能在用户登录时获取用户数据。
但我使用的是令牌流，所以我没有使用获取刷新令牌的代码流。当用户登录时，我正在获取令牌。我不明白为什么在范围内未使用离线权限时会显示它。
Microsoft 身份验证库 (MSAL) 目前在授权和令牌请求中默认指定了 offline_access、openid、配置文件和电子邮件。详情可以阅读openid permissions。
所以如果我理解你对openid 自动添加offline_access 范围？如何删除默认范围offline_access？

【解决方案2】：

这个问题的答案是 v2.0 端点总是会包含 offline_access 范围，因为按需请求权限需要刷新令牌。

【讨论】：