无法从Azure应用程序的授权代码中检索访问令牌

Question

我正在使用passport Azure广告库为我的Azure应用程序执行Azure AD SSO。以下是选项对象：

const options = {
identityMetadata: process.env.AZUREAD_IDENTITY_METADATA,
clientID: process.env.AZUREAD_AUTH_CLIENT_ID,
responseType: 'code id_token',
responseMode: 'form_post',
redirectUrl: process.env.AZUREAD_REDIRECT_URL,
allowHttpForRedirectUrl: true,
clientSecret: process.env.AZUREAD_AUTH_CLIENT_SECRET,
validateIssuer: false,
issuer: null,
passReqToCallback: true,
useCookieInsteadOfSession: true,
cookieEncryptionKeys: [
{ key: '********************************', iv: '************' },
{ key: '********************************', iv: '************' },
],
scope: ['profile', 'offline_access', 'https://graph.microsoft.com/mail.read'],
loggingLevel: 'info',
nonceLifetime: null,
nonceMaxAmount: 5,
clockSkew: null,
};

在从AD回调中获得授权代码(req.body.code(后，我将使用它来使用adal节点库检索我的应用程序的访问令牌。相关代码片段-

const authenticationContext = new AuthenticationContext(
`https://login.microsoftonline.com/<tenant>.onmicrosoft.com`,
);
authenticationContext.acquireTokenWithAuthorizationCode(
req.body.code,
process.env.AZUREAD_REDIRECT_URL,
process.env.AZUREAD_AUTH_CLIENT_ID,
process.env.AZUREAD_AUTH_CLIENT_ID,
process.env.AZUREAD_AUTH_CLIENT_SECRET,
function(err, response) {
let message = '';
if (err) {
message = 'error: ' + err.message + 'n';
}
message += 'response: ' + JSON.stringify(response);
if (err) {
console.log(message);
return;
}
...

但这种方法会导致以下错误：

"error": "invalid_grant",
"error_description": "AADSTS54005: OAuth2 Authorization code was already redeemed, please retry with a new valid code or use an existing refresh token.rnTrace ID: 539cdaf3-460d-43fa-b4bb-6f23a8058800rnCorrelation ID: 507aafd9-5a4a-4417-b1f8-9fe4a5bc4cd3rnTimestamp: 2020-02-28 13:10:27Z",
"error_codes": [
54005
],

还尝试根据文档检索访问令牌(https://learn.microsoft.com/en-us/azure/active-directory/azuread-dev/v1-protocols-oauth-code#use-请求访问令牌的授权代码(，但这也会导致相同的错误。

请帮我找出这里的错误。

Answer 1

Azure AD将不再接受授权码来发布已使用的令牌。

您每次都需要获得一个新的授权代码。此外，您可以更改代码以请求刷新令牌，该令牌将传递给其他资源/由其他资源使用，因为刷新令牌仍然可以重用。

参考：

https://social.msdn.microsoft.com/Forums/en-US/4192e141-309a-4dd6-a5c9-f1a8ce32f4ca/aadsts54005-oauth2-authorization-code-was-already-redeemed