Microsoft Graph API令牌验证失败

let tokenid= sessionStorage.getItem('msal.idtoken');

变得像:

let tokenid= sessionStorage.getItem('msal.token'); // or msal.accesstoken

更新 (根据菲利普的评论)

您需要选择要在应用程序中作为目标的作用域。因此,看起来您需要用户配置文件,因此您需要添加ApproveScopes属性来指定应用程序将使用的作用域:

MsalModule.forRoot({
  clientID: "Tenant ID",
  authority: "https://login.microsoftonline.com/common/",
  redirectUri: "http://localhost:4200/",
  validateAuthority : true,
  popUp: true,
  consentScopes: ["user.read"]
}),

根据 the same sample 也可以附加 HttpInterceptor

许可范围: 允许客户机表示应该同意的所需范围。作用域可以来自多个资源/端点。在这里传递scope只会同意它,在客户端实际调用API之前,不会获取任何访问令牌。如果您仅将MSAL用于登录(身份验证),则这是可选的。

这表明使用

内部使用 getCachedTokenInternal(scopes: Array<string>, user: User) code found here . 我不确定您是否也可以使用此方法来获取该资源的新令牌。我就用拦截器。

您可以尝试复制访问令牌并查看它在上的外观 jwt.ms jwt.io

对Graph有效的任何标记都应具有 观众 属于 https://graph.microsoft.com ,因此,如果您检查令牌(在jwt.ms中),它至少应该有这个值。

"aud": "https://graph.microsoft.com",

https://github.com/AzureAD/microsoft-authentication-library-for-js/tree/dev/samples/MSALAngularDemoApp

export const protectedResourceMap:[string, string[]][]=[ ['https://graph.microsoft.com/v1.0/me', ['user.read']] ];