登入使用者的 Web 應用程式：程式代碼設定

瞭解如何為登入使用者的 Web 應用程式設定程式碼。

支援 Web 應用程式Microsoft連結庫

下列Microsoft連結庫可用來保護 Web 應用程式（和 Web API）：

語言/架構	專案平台 GitHub	套件	開始 啟動	登入使用者	存取 Web API	正式發行 (GA) 或 公開預覽1
.NET	MSAL.NET	Microsoft.Identity.Client	—			GA
.NET	Microsoft.IdentityModel	Microsoft.IdentityModel	—	2	2	GA
ASP.NET Core	ASP.NET Core	Microsoft.AspNetCore.Authentication	快速入門			GA
ASP.NET Core	Microsoft.Identity.Web	Microsoft.Identity.Web	快速入門			GA
Java	MSAL4J	msal4j	快速入門			GA
Spring	spring-cloud-azure-starter-active-directory	spring-cloud-azure-starter-active-directory	教學課程			GA
Node.js	MSAL 節點	msal-node	快速入門			GA
Python	MSAL Python	msal				GA
Python	identity	identity	快速入門			--

^（1） 在線服務的通用授權條款適用於公開預覽版的連結庫。

^（2） Microsoft.IdentityModel 連結庫只會驗證權杖 - 它無法要求識別碼或存取令牌。

選取對應至您感興趣的平臺的索引標籤：

ASP.NET Core

本文中的代碼段和下列代碼段是從 ASP.NET Core Web 應用程式累加教學課程第 1 章擷取。

您可能想要參閱本教學課程以取得完整的實作詳細數據。

ASP.NET

本文中的代碼段和下列代碼段會從 ASP.NET Web 應用程式範例擷取。

您可以參考此範例以取得完整的實作詳細數據。

Java

本文中的代碼段和下列代碼段是從 MSAL Java 中呼叫 Microsoft 圖表範例的 Java Web 應用程式擷取。

您可以參考此範例以取得完整的實作詳細數據。

Node.js

本文中的代碼段和下列代碼段會擷取自 MSAL Node 範例中 登入使用者的 Node.js Web 應用程式。

您可以參考此範例以取得完整的實作詳細數據。

Python

本文中的代碼段和下列代碼段會從使用身分識別套件呼叫 Microsoft 圖形範例的 Python Web 應用程式擷取（MSAL Python 的包裝函式）。

您可以參考此範例以取得完整的實作詳細數據。

組態檔

使用 Microsoft 身分識別平台 登入使用者的 Web 應用程式會透過組態檔進行設定。 這些檔案必須指定下列值：

• 例如，如果您想要讓應用程式在國家雲端中執行，則為雲端 實例 。 不同的選項包括：
  • Azure 公用雲端的 https://login.microsoftonline.com/
  • https://login.microsoftonline.us/ 適用於 Azure 美國政府
  • https://login.microsoftonline.de/ for Microsoft Entra Germany
  • https://login.partner.microsoftonline.cn/common 由 21Vianet 運營的 Microsoft Entra China
• 租使用者標識碼中的物件。 選項會根據您的應用程式是單一租使用者或多租使用者而有所不同。
  • 從 Azure 入口網站 取得的租使用者 GUID，以登入組織中的使用者。 您也可以使用功能變數名稱。
  • organizations 以在任何公司或學校帳戶中登入使用者
  • common 使用任何公司或學校帳戶或Microsoft個人帳戶登入使用者
  • consumers 僅使用Microsoft個人帳戶登入使用者
• 從Azure 入口網站 複製的應用程式用戶端標識碼

您可能也會看到授權單位的參考、實例的串連和租用戶標識碼值。

ASP.NET Core

在 ASP.NET Core 中，這些設定位於 [Microsoft Entra ID] 區段中的 appsettings.json 檔案中。

{
  "AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "TenantId": "[Enter the tenantId here]",

    // Client ID (application ID) obtained from the Azure portal
    "ClientId": "[Enter the Client Id here]",
    "CallbackPath": "/signin-oidc",
    "SignedOutCallbackPath": "/signout-oidc"
  }
}

在 ASP.NET Core 中，另一個檔案 （properties\launchSettings.json） 包含應用程式和各種配置檔的 URL （applicationUrl） 和 TLS/SSL 連接埠 （sslPort）。

{
  "iisSettings": {
    "windowsAuthentication": false,
    "anonymousAuthentication": true,
    "iisExpress": {
      "applicationUrl": "http://localhost:3110/",
      "sslPort": 44321
    }
  },
  "profiles": {
    "IIS Express": {
      "commandName": "IISExpress",
      "launchBrowser": true,
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      }
    },
    "webApp": {
      "commandName": "Project",
      "launchBrowser": true,
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      },
      "applicationUrl": "http://localhost:3110/"
    }
  }
}

在 Azure 入口網站 中，您在應用程式的 [驗證] 頁面上註冊的重新導向 URI 必須符合這些 URL。 針對上述兩個組態檔，它們會是 https://localhost:44321/signin-oidc。 原因是 ，applicationUrlhttp://localhost:3110但sslPort已指定 （44321）。 CallbackPath 是 /signin-oidc，如 中所 appsettings.json定義。

同樣地，註銷 URI 會設定為 https://localhost:44321/signout-oidc。

注意

SignedOutCallbackPath 應該設定為入口網站或應用程式，以避免在處理事件時發生衝突。

ASP.NET

在 ASP.NET 中，應用程式是透過 appsettings.json 檔案設定，第12行到15行。

{
  "AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "TenantId": "[Enter the tenantId here]",
    "ClientId": "[Enter the Client Id here]",
  }
}

在 Azure 入口網站 中，您在應用程式的 [驗證] 頁面上註冊的回復 URI 必須符合這些 URL。 也就是說，它們應該是 https://localhost:44326/。

Java

在 Java 中，組態位於 位於 下的 src/main/resourcesapplication.properties 檔案中。

aad.clientId=Enter_the_Application_Id_here
aad.authority=https://login.microsoftonline.com/Enter_the_Tenant_Info_Here/
aad.secretKey=Enter_the_Client_Secret_Here
aad.redirectUriSignin=http://localhost:8080/msal4jsample/secure/aad
aad.redirectUriGraph=http://localhost:8080/msal4jsample/graph/me

在 Azure 入口網站 中，您在應用程式的 [驗證] 頁面上註冊的回復 URI 必須符合redirectUri應用程式所定義的實例。 也就是說，它們應該是 http://localhost:8080/msal4jsample/secure/aad 和 http://localhost:8080/msal4jsample/graph/me。

Node.js

在這裡，組態參數會以環境變數的形式位於 .env.dev ：

CLOUD_INSTANCE="Enter_the_Cloud_Instance_Id_Here" # cloud instance string should end with a trailing slash
TENANT_ID="Enter_the_Tenant_Info_Here"
CLIENT_ID="Enter_the_Application_Id_Here"
CLIENT_SECRET="Enter_the_Client_Secret_Here"

REDIRECT_URI="http://localhost:3000/auth/redirect"
POST_LOGOUT_REDIRECT_URI="http://localhost:3000"

GRAPH_API_ENDPOINT="Enter_the_Graph_Endpoint_Here" # graph api endpoint string should end with a trailing slash

EXPRESS_SESSION_SECRET="Enter_the_Express_Session_Secret_Here"

這些參數是用來在authConfig.js檔案中建立組態對象，最終將用來初始化 MSAL 節點：

/*
 * Copyright (c) Microsoft Corporation. All rights reserved.
 * Licensed under the MIT License.
 */

require('dotenv').config({ path: '.env.dev' });

/**
 * Configuration object to be passed to MSAL instance on creation.
 * For a full list of MSAL Node configuration parameters, visit:
 * https://github.com/AzureAD/microsoft-authentication-library-for-js/blob/dev/lib/msal-node/docs/configuration.md
 */
const msalConfig = {
    auth: {
        clientId: process.env.CLIENT_ID, // 'Application (client) ID' of app registration in Azure portal - this value is a GUID
        authority: process.env.CLOUD_INSTANCE + process.env.TENANT_ID, // Full directory URL, in the form of https://login.microsoftonline.com/<tenant>
        clientSecret: process.env.CLIENT_SECRET // Client secret generated from the app registration in Azure portal
    },
    system: {
        loggerOptions: {
            loggerCallback(loglevel, message, containsPii) {
                console.log(message);
            },
            piiLoggingEnabled: false,
            logLevel: 3,
        }
    }
}

const REDIRECT_URI = process.env.REDIRECT_URI;
const POST_LOGOUT_REDIRECT_URI = process.env.POST_LOGOUT_REDIRECT_URI;
const GRAPH_ME_ENDPOINT = process.env.GRAPH_API_ENDPOINT + "v1.0/me";

module.exports = {
    msalConfig,
    REDIRECT_URI,
    POST_LOGOUT_REDIRECT_URI,
    GRAPH_ME_ENDPOINT
};

在 Azure 入口網站 中，您在應用程式的 [驗證] 頁面上註冊的回復 URI 必須符合應用程式定義的 redirectUri 實例（http://localhost:3000/auth/redirect）。

為了簡單起見，用戶端密碼會儲存在組態檔中。 在生產應用程式中，請考慮使用密鑰保存庫或環境變數。 更好的選項是使用憑證。

Python

組態參數會在 .env 中設定為環境變數：

# Note: If you are using Azure App Service, go to your app's Configuration,
# and then set the following values into your app's "Application settings".

CLIENT_ID=<client id>
CLIENT_SECRET=<client secret>

# Expects a full authority URL such as "https://login.microsoftonline.com/TENANT_GUID"
# or "https://login.microsoftonline.com/contoso.onmicrosoft.com".
# Alternatively, leave it undefined if you are building a multi-tenant app in world-wide cloud
#AUTHORITY=<authority url>

這些環境變數會在app_config.py中參考：

import os

# Application (client) ID of app registration
CLIENT_ID = os.getenv("CLIENT_ID")
# Application's generated client secret: never check this into source control!
CLIENT_SECRET = os.getenv("CLIENT_SECRET")

# You can configure your authority via environment variable
# Defaults to a multi-tenant app in world-wide cloud
AUTHORITY = os.getenv("AUTHORITY", "https://login.microsoftonline.com/common")

REDIRECT_PATH = "/getAToken"  # Used for forming an absolute URL to your redirect URI.
# The absolute URL must match the redirect URI you set
# in the app's registration in the Azure portal.

# You can find more Microsoft Graph API endpoints from Graph Explorer
# https://developer.microsoft.com/en-us/graph/graph-explorer
ENDPOINT = 'https://graph.microsoft.com/v1.0/users'  # This resource requires no admin consent

# You can find the proper permission names from this document
# https://docs.microsoft.com/en-us/graph/permissions-reference
SCOPE = ["User.ReadBasic.All"]

# Tells the Flask-session extension to store sessions in the filesystem
SESSION_TYPE = "filesystem"
# Using the file system will not work in most production systems,
# it's better to use a database-backed session store instead.

.env 檔案不應該簽入原始檔控制，因為它包含秘密。 快速入門範例包含 .gitignore 檔案，可防止 .env 檔案簽入。

# Environments
.env

初始化程序代碼

初始化程式代碼差異為平臺相依性。 針對 ASP.NET Core 和 ASP.NET，登入使用者會委派給 OpenID Connect 中間件。 ASP.NET 或 ASP.NET Core 範本會產生 Azure AD v1.0 端點的 Web 應用程式。 需要一些設定，才能將其調整為 Microsoft 身分識別平台。

ASP.NET Core

在 ASP.NET Core Web 應用程式 （和 Web API） 中，應用程式會受到保護，因為您在 Authorize 控制器或控制器動作上有屬性。 此屬性會檢查使用者是否已通過驗證。 在 .NET 6 版本之前，程式代碼初始化是在 Startup.cs 檔案中。 使用 .NET 6 的新 ASP.NET Core 專案不再包含 Startup.cs 檔案。 其位置是 Program.cs 檔案。 本教學課程的其餘部分與 .NET 5 或更低版本有關。

注意

如果您想要直接開始使用適用於 Microsoft 身分識別平台 的新 ASP.NET Core 範本，利用 Microsoft.Identity.Web，您可以下載包含 .NET 5.0 專案範本的預覽 NuGet 套件。 然後，安裝之後，您可以直接具現化 ASP.NET Core Web 應用程式 （MVC 或 Blazor）。 如需詳細資訊，請參閱 Microsoft.Identity.Web Web 應用程式項目範本 。 這是最簡單的方法，因為它會為您執行下列步驟。

如果您想要在 Visual Studio 中使用目前的預設 ASP.NET Core Web 專案啟動專案，或是使用 dotnet new mvc --auth SingleOrg 或 dotnet new webapp --auth SingleOrg，您會看到如下所示的程式代碼：

 services.AddAuthentication(AzureADDefaults.AuthenticationScheme)
         .AddAzureAD(options => Configuration.Bind("AzureAd", options));

此程式代碼會使用舊版 Microsoft.AspNetCore.Authentication.AzureAD.UI NuGet 套件，用來建立 Azure Active Directory v1.0 應用程式。 本文說明如何建立 Microsoft 身分識別平台 v2.0 應用程式，以取代該程序代碼。

1. 將 Microsoft.Identity.Web 和 Microsoft.Identity.Web.UI NuGet 套件新增至您的專案。 Microsoft.AspNetCore.Authentication.AzureAD.UI如果有 NuGet 套件，請將其移除。

2. 更新 中的 ConfigureServices 程序代碼，使其使用 AddMicrosoftIdentityWebApp 和 AddMicrosoftIdentityUI 方法。

   public class Startup
   {
    ...
    // This method gets called by the runtime. Use this method to add services to the container.
    public void ConfigureServices(IServiceCollection services)
    {
     services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
            .AddMicrosoftIdentityWebApp(Configuration, "AzureAd");
   
     services.AddRazorPages().AddMvcOptions(options =>
     {
      var policy = new AuthorizationPolicyBuilder()
                    .RequireAuthenticatedUser()
                    .Build();
      options.Filters.Add(new AuthorizeFilter(policy));
     }).AddMicrosoftIdentityUI();
   

3. Configure在 Startup.cs 的 方法中，啟用對 和app.MapControllers();呼叫app.UseAuthentication();的驗證。

   // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
   public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
   {
    // more code here
    app.UseAuthentication();
    app.UseAuthorization();
   
    app.MapRazorPages();
    app.MapControllers();
    // more code here
   }
   

在該程式碼中：

• 擴充 AddMicrosoftIdentityWebApp 方法定義於 Microsoft.Identity.Web 中，其中;

  • 設定選項以讀取組態檔 （這裡從 [Microsoft Entra ID] 區段）
  • 設定 OpenID Connect 選項，讓授權單位是 Microsoft 身分識別平台。
  • 驗證令牌的簽發者。
  • 確保對應至名稱的宣告會從 preferred_username 標識元令牌中的宣告對應。

• 除了組態物件之外，您也可以在呼叫 AddMicrosoftIdentityWebApp時指定組態區段的名稱。 預設為AzureAd。

• AddMicrosoftIdentityWebApp 具有進階案例的其他參數。 例如，追蹤 OpenID Connect 中間件事件可協助您對 Web 應用程式進行疑難解答，如果驗證無法運作。 將選擇性參數 subscribeToOpenIdConnectMiddlewareDiagnosticsEvents 設定為 true ，會顯示一組 ASP.NET Core 中間件處理資訊的方式，因為它會從 HTTP 回應進行到 中 HttpContext.User使用者的身分識別。

• 擴充 AddMicrosoftIdentityUI 方法定義於 Microsoft.Identity.Web.UI 中。 它提供預設控制器來處理登入和註銷。

如需Microsoft.Identity.Web 如何讓您建立 Web 應用程式的詳細資訊，請參閱 microsoft-identity-web 中的 Web Apps。

ASP.NET

ASP.NET Web 應用程式和 Web API 中與驗證相關的程式代碼位於 App_Start/Startup.Auth.cs 檔案中。

 public void ConfigureAuth(IAppBuilder app)
 {
  app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);

  app.UseCookieAuthentication(new CookieAuthenticationOptions());

  OwinTokenAcquirerFactory factory = TokenAcquirerFactory.GetDefaultInstance<OwinTokenAcquirerFactory>();
  factory.Build();
  app.AddMicrosoftIdentityWebApi(factory);
 }

Java

Java 範例會使用 Spring 架構。 應用程式會受到保護，因為您實作會攔截每個 HTTP 回應的篩選條件。 在 Java Web 應用程式的快速入門中，此篩選條件位於 AuthFilter src/main/java/com/microsoft/azure/msalwebsample/AuthFilter.java。

篩選會處理 OAuth 2.0 授權碼流程，並檢查使用者是否已通過驗證 （isAuthenticated() 方法）。 如果未驗證使用者，它會計算Microsoft Entra 授權端點的URL，並將瀏覽器重新導向至此URI。

當回應到達時，其中包含授權碼，它會使用 MSAL Java 取得令牌。 當它最後從令牌端點接收令牌時（在重新導向 URI 上），使用者就會登入。

如需詳細資訊，請參閱 doFilter() AuthFilter.java 中的方法。

注意

的程式代碼 doFilter() 會以稍微不同的順序撰寫，但流程是所描述的程序代碼。

如需此方法觸發的授權碼流程詳細資訊，請參閱 Microsoft 身分識別平台 和 OAuth 2.0 授權碼流程。

Node.js

Node 範例會使用 Express 架構。 MSAL 會在驗證路由處理程式中初始化：

var express = require('express');

const authProvider = require('../auth/AuthProvider');
const { REDIRECT_URI, POST_LOGOUT_REDIRECT_URI } = require('../authConfig');

const router = express.Router();

router.get('/signin', authProvider.login({
    scopes: [],
    redirectUri: REDIRECT_URI,
    successRedirect: '/'

Python

Python 範例是使用 Flask 架構所建置，不過 Django 等其他架構也可以使用。 Flask 應用程式會使用 app.py 頂端的應用程式組態來初始化：

import identity
import identity.web
import requests
from flask import Flask, redirect, render_template, request, session, url_for
from flask_session import Session

import app_config

app = Flask(__name__)
app.config.from_object(app_config)
Session(app)

然後程式代碼會使用身分識別套件來建構 auth 物件。

auth = identity.web.Auth(
    session=session,
    authority=app.config["AUTHORITY"],
    client_id=app.config["CLIENT_ID"],
    client_credential=app.config["CLIENT_SECRET"],
)

下一步

在下一篇文章中，您將瞭解如何觸發登入和註銷。

ASP.NET Core

請移至此案例中的下一篇文章， 登入並註銷。

ASP.NET

請移至此案例中的下一篇文章， 登入並註銷。

Java

請移至此案例中的下一篇文章， 登入並註銷。

Node.js

請移至此案例中的下一篇文章， 登入並註銷。

Python

請移至此案例中的下一篇文章， 登入並註銷。