如何仅在用户首次登录时指定自定义策略？

Question

上下文

我们创建了一个自定义策略，在邀请用户使用我们的SPA应用程序时使用。 该策略执行一次用户初始化，例如通过调用REST API功能在数据库中创建记录。这里的一切都按预期工作：执行自定义逻辑，然后获取并返回id令牌。

当我们应该在调用msal.js方法时获取受保护API的访问令牌时，问题就开始了 “ acquireTokenSilent”。

我们现在看到，再次执行了自定义策略，再次执行了REST端点，并试图再次创建用户。

问题

是否可以在不执行自定义策略中定义的所有业务逻辑的情况下获得访问令牌？ 我以为获取acctotoken与政策完全不同，因为我们在获得id令牌时已经过身份验证。

Answer 1

MSAL.js 1.x中的

acquireTokenSilent使用一个通过prompt=none登录运行的iframe。

因此，在隐式授予流（在此使用）的情况下，答案是每次刷新令牌时它都会贯穿登录流。 这里有几个选择：

1. 使API端点成为幂等，即允许多次调用（如果用户已经存在，则忽略该请求）
2. 对以会话状态（SSO）存储的用户设置声明，如果该声明具有值，则跳过REST API编排步骤（或者您可以使用objectIdFromSession声明，我认为它在入门模板中已经存在）

第一个选项是最简单的一种，我认为您已经这样做了，因为当用户注销并重新登录时也会再次调用它。 不过，这可能会导致对该API的大量请求。 为了避免这种情况，您可以在API调用之后使用newUser声明或在用户上设置扩展属性。

Answer 2

在调用acquireTokenSilent（）时，为常规的登录策略传递新的权限。该登录策略需要具有会话管理（SM-AAD），并且邀请策略中的技术配置文件中必须存在相同的SM-AAD SM技术资料，以便用户在使用邀请政策。