microsoft-graph-api - 使用 Office.js 访问令牌作为对后端的授权

Question

我正在开发一个由 React 前端和 dotnet 核心后端服务组成的 Outlook 加载项。我使用 Office.js 库检索访问令牌。

Office.context.mailbox.getCallbackTokenAsync({isRest: true}, async (result:Office.AsyncResult<string>) => {

});

访问令牌被发送到后端服务并用于检索 Graph 访问和刷新令牌。

我的问题是，我是否还应该在从加载项前端到后端的请求中使用 Office.js 访问令牌作为授权标头？它会提供任何额外的安全级别，还是我可以在检索到 Graph 令牌后丢弃它？

标签： microsoft-graph-apioffice-jsoutlook-web-addins

Answer 1

您取回的令牌仅适用于 Microsoft Graph，并且仅适用于该用户的邮箱。如果您使用https://jwt.ms解码令牌，您可以准确看到分配了哪些范围（非常有限）。

如果您想将用户的身份用于您自己的后端，有两种选择。

• 在 Outlook 加载项（预览版）中使用 SSO 令牌对用户进行身份验证
• 使用 Exchange 的身份令牌对用户进行身份验证

Outlook 加载项中的身份验证选项中提供了身份验证概述。