来自SPA的Azure广告代码资助？

Question

Azure AD是否支持SPA应用程序的代码授予？我已经构建了使用针对AAD的隐式流程的SPA应用程序，它们工作得很好。需要注意的是，如果我们尝试在jwt令牌中获得组成员资格，那么最多只能在＆＃34;组中列出5个组＆＃34;否则jwt包含＆＃34; hasGroups＆＃34;声称（这是毫无价值的）。

我发现一些在线文章（目前我似乎无法找到）表明群组声明的上限为5，以防止因超大访问权限而超出网址最大值id令牌被放置在url中，并且代码授权将允许jwt中的无限组，因为该请求通过http帖子。

两个问题：

1. 看来我无法通过SPA进行代码授予，因为AAD 令牌端点不支持CORS。真的吗？这是为什么？ 这似乎是微软承认JS / SPA应用程序不是一流的 公民。我也试图从AAD获取公钥 客户端应用程序，并发现该端点上缺少CORS。
2. 代码授权是否可以将超过5个组重新嵌入jwt中？