即使将 accessTokenAcceptedVersion 更改为 2，Microsoft JWT iss 仍设置为 sts.windows.net

Question

我创建了一个新的应用程序服务并在 manifest.json 中将 accessTokenAcceptedVersion 设置为 2，因为我正在寻找类似于 here 的 v2 令牌。但是微软生成的accessToken在解码时总是有一个sts.windows.net的iss值。我希望它是 login.microsoftonline.com。请指教

这是我的实现：

这是我解码后的令牌：

请指教

Answer 1

请参阅this part（就在您分享的link）：

Resources always own their tokens (those with their aud claim) and are the only applications that can change their token details. This is why changing the access token optional claims for your client does not change the access token received when a token is requested for user.read, which is owned by the Microsoft Graph resource.

这意味着 accessTokenAcceptedVersion 设置应该在服务端应用程序注册而不是客户端应用程序注册中配置。

对于 Microsoft Graph 令牌，我们无法在服务端配置它，因为 Microsoft Graph 应用程序注册由 Microsoft 正式管理。

在您的客户端配置 accessTokenAcceptedVersion 不会将令牌版本更改为 2。这是预期的。

这个功能主要是当你调用自己的AAD保护的网页API，而不是微软官方的API。

---

更新：

如果您想调用自己的API，您应该通过Protected web API: App registration创建服务端应用程序注册并在其中设置accessTokenAcceptedVersion。

这是 Scenario: A web app that calls web APIs 的完整文档。