Microsoft Graph API redirect_uri 不允许查询字符串

Question

我们正在尝试从旧的 WindowsLive API 迁移到新的 Microsoft Graph API。在此过程中，我们遇到了应用程序中所需的 OAuth 2.0 redirect_uri 参数的困难。

根据Oauth 2.0 RFC，redirect_uri 必须是绝对路径，但可以包含正确编码的查询字符串。

在我们的 Windows 应用中，我们设置了绝对路径 - 他们的应用工具不允许添加查询字符串：https://example.com/index.php

我们发出的 OAuth 请求使用带有 URL 编码的 redirect_uri，包括查询参数。这是必要的，我们使用 CMS (Joomla) 需要知道应该处理请求的内容：

https://login.microsoftonline.com/common/oauth2/v2.0/authorize?
 response_type=code&
 client_id={string}&    
 redirect_uri=https%3A%2F%2Fexample.com%2Findex.php%3Foption%3Dcom_jfbconnect%26task%3Dauthenticate.callback%26provider%3Dwindowslive&
 scope=user.read&
 state={string}&
 access_type=offline&
 approval_prompt=auto

但是，Graph API 拒绝这样做：

“请求中指定的回复url与为应用配置的回复url不匹配”

还有其他人遇到这种情况或了解为什么 Graph API 不接受应用配置或令牌请求中的查询参数吗？

编辑 - 5/8 - 但是，应用程序设置区域不允许在 redirect_uri 设置中允许查询字符串，根据 RFC，这是正确的。但是，Graph API 不尊重 RFC 的此注释：

The endpoint URI MAY include an "application/x-www-form-urlencoded" formatted (per Appendix B) query component ([RFC3986] Section 3.4), which MUST be retained when adding additional query parameters.

Answer 1

这实际上并没有被 Microsoft Graph 拒绝。 Microsoft Graph 只是一个 API，它不会生成或管理访问令牌。该过程由 Azure Active Directory 处理。

您遇到的错误是由于您的redirect_uri 未在您的应用注册https://apps.dev.microsoft.com 中配置。 URL 必须明确匹配注册中配置的 URL。来自documentation：

您的应用的redirect_uri，您的应用可以在其中发送和接收身份验证响应。它必须完全匹配您在门户中注册的重定向 URI 之一，但它必须是 url 编码的。

对于需要传递数据的场景，您应该在 state 参数中对这些值进行编码。这将与授权代码一起返回到您的重定向 URI。

还要注意access_type=offline 或approval_prompt=auto 都不是有效的查询参数：

• 要检索refresh_token，请将offline 添加到作用域列表(user.read+offline)。
• 要设置用户收到的提示类型，请使用prompt 参数。有效选项为 login、none 和 consent。