深入解析aadsts70008错误：授权码过期问题的诊断与解决方案

1次阅读

没有评论

共计 2012 个字符，预计需要花费 6 分钟才能阅读完成。

在 Azure AD 身份验证中，OAuth 2.0 授权码流程是一个核心机制。简单来说，它通过授权码换取访问令牌，而授权码本身是短期的（通常 5 分钟有效）。aadsts70008 错误就是当这个授权码或后续的刷新令牌过期时触发的。

典型场景包括：

用户完成登录后，应用没有及时用授权码换取令牌
刷新令牌超过其生命周期（通常 90 天）后仍被使用
网络延迟导致令牌请求超时，重试时原始授权码已失效

这个错误直接影响用户体验，可能导致突然退出登录或功能不可用。

令牌的生命周期管理是理解这个问题的关键。Azure AD 使用了两种令牌：

访问令牌（Access Token）：短期有效（通常 1 小时），直接用于 API 调用
刷新令牌（Refresh Token）：长期有效（通常 90 天），用于获取新的访问令牌

它们的区别在于：

短期令牌安全性高，但频繁过期影响体验
长期令牌减少了登录次数，但泄露风险更大

Azure AD 的令牌生命周期可以通过策略配置调整，但最佳实践是保持默认值并优化客户端处理逻辑。

async function refreshToken(refreshToken) {
  try {
    const response = await axios.post('https://login.microsoftonline.com/tenant/oauth2/v2.0/token', {
      client_id: 'your-client-id',
      scope: 'api://your-api/.default',
      refresh_token: refreshToken,
      grant_type: 'refresh_token',
      client_secret: 'your-client-secret'
    });

    // 返回新令牌（包含新的 refresh_token）return {
      accessToken: response.data.access_token,
      refreshToken: response.data.refresh_token,
      expiresIn: response.data.expires_in
    };
  } catch (error) {if (error.response && error.response.data.error === 'invalid_grant') {
      // 处理 aadsts70008 错误
      throw new Error('TOKEN_EXPIRED');
    }
    throw error;
  }
}

实现重试时要注意：

采用指数退避策略（如首次立即重试，之后 2 秒、4 秒、8 秒 …）
设置最大重试次数（通常 3 次）
对于非幂等操作要特别小心

async function withRetry(fn, maxRetries = 3) {
  let attempt = 0;
  while (true) {
    try {return await fn();
    } catch (error) {if (error.message !== 'TOKEN_EXPIRED' || attempt >= maxRetries) {throw error;}

      const delay = Math.pow(2, attempt) * 1000;
      await new Promise(resolve => setTimeout(resolve, delay));
      attempt++;
    }
  }
}