我在 Azure AD 中注册了一个应用程序。
如果我在 Web API 级别和客户端(SPA 应用程序)级别使用相同的应用程序 ID，为什么两个 Azure AD 身份验证库都这样做
(ADAL JS 对于 Azure AD v1 和 MSAL.js 对于 Azure AD v2)
调用 Web API 时使用 ID token 作为承载 token ，而不是请求和使用访问 token ？这不违反规范吗？
最佳答案
根据官方文档，这可能是您的情况。
“Azure AD 中的 OAuth 2.0 隐式流旨在当请求 token 的资源与客户端应用程序相同时返回 ID token 。换句话说，当 JS 客户端使用 ADAL JS 请求时使用与客户端相同的 App ID 注册自己的后端 Web API 的 token ，库会返回并缓存 ID token 。请注意，在这种情况下，资源应设置为客户端的 App ID(App ID URI 将不起作用)。然后，此 ID token 可以在调用应用程序的后端 API 时用作不记名 token 。”
您可以在这里找到更多相关信息!
https://github.com/AzureAD/azure-activedirectory-library-for-js/wiki/Acquire-tokens
关于Azure AD : id_token as bearer token，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/54988875/