Better Auth 接入 Azure AD：企业账号登录配置指南-编程实验室

Better Auth 接入 Azure AD：企业账号登录配置指南

【免费下载链接】better-authThe most comprehensive authentication framework项目地址: https://gitcode.com/GitHub_Trending/be/better-auth

本文带你完成 Better Auth 的 Azure AD 集成：从 Azure 应用注册到最小可运行配置，再到多租户与单租户 Azure AD 配置。读完后，你可以在自己的 TypeScript 项目里让用户直接用公司 Microsoft 账号登录。

场景引入

假设你给一家公司做内部 SaaS。员工邮箱全是企业域名，IT 部门的要求只有一条：别做邮箱密码登录，用公司现有的 Microsoft 账号统一进来，员工离职时权限随账号自动失效。

如果手工对接 Azure AD，你要读 OAuth 2.0 授权码流程的文档：拼授权 URL、拿 code 换令牌、校验 ID token 的签名和颁发者、处理令牌刷新，再自己定用户表里放哪个字段当唯一标识。每一步都容易踩坑。

Better Auth 内置了 Microsoft 提供程序，把这条链路整段接管。你只需要在 auth 配置里填clientId和clientSecret两个参数，授权、换令牌、验签、建会话都交给它。

🚀 快速上手

在 Azure 门户创建应用注册

登录 Azure 门户，进入 Entra ID 的"应用注册"，新建一个注册。完成后记下三样东西：概览页的应用（客户端）ID；在"证书和密码"里新建一条客户端密码，记下客户端密码值（它只显示一次）；把回调地址http://localhost:3000/api/auth/callback/microsoft加进重定向 URI 列表，生产环境再补一条换成你的正式域名。如果系统提示该 URI 格式无效，就把它加到"移动和桌面应用程序"一栏。

安装 better-auth 依赖

npm install better-auth

配置 Microsoft 社交登录的最小 auth 代码

下面是全文唯一一段完整代码。socialProviders.microsoft就是 Better Auth 的 Azure AD 集成入口，两个必填项之外全部可省。

import { betterAuth } from "better-auth" export const auth = betterAuth({ socialProviders: { microsoft: { clientId: process.env.MICROSOFT_CLIENT_ID!, clientSecret: process.env.MICROSOFT_CLIENT_SECRET!, }, }, })

启动后，前端调用authClient.signIn.social({ provider: "microsoft" })就会跳到微软登录页。用户授权后，Better Auth 自动完成换令牌、校验 ID token 和创建会话。

🧩 多租户 Azure AD 配置：tenantId 怎么改

微软的tenantId决定授权 URL 指向哪个入口。不传时默认是common：登录页接受任意租户的工作账号，也接受个人账号。此时 Better Auth 的 ID token 校验会按令牌自身所属租户去拉对应的 JWKS（微软公开的公钥集合）验证签名。

想收紧范围，就改tenantId这一个参数：

设成organizations：登录页只显示工作或学校账号，个人账号的令牌会被 Better Auth 在校验环节拒绝。
设成某个租户的 GUID：微软把登录限定在那个租户内，ID token 的颁发者固定为该租户，校验也只认这一家。

为什么这样改就有效？因为tenantId同时改变了微软的授权入口和令牌颁发者。比如锁定到某租户后，Better Auth 会要求令牌的颁发者正是login.microsoftonline.com加这个租户 GUID 的地址，来源不符直接拒绝。

你的用户群固定在一个租户，就锁到具体 GUID，这是最稳的写法；产品要卖给很多家公司，就用organizations，再按需要排除个人账号。

🔧 常见坑排查

登录跳转后报AAD.redirect_uri_mismatch（400）

现象：点登录后，微软页面报回调地址不匹配，错误码AAD.redirect_uri_mismatch。原因：Better Auth 实际发出的回调地址，和你在 Azure 侧登记的地址不完全一致。通常是端口写错，或者改了baseURL却没同步改 Azure 里的重定向 URI。解决：把两边地址逐字对齐，本地用http://localhost:3000/api/auth/callback/microsoft，生产换成部署域名后回 Azure 补登。

令牌校验失败，登录中断

现象：微软侧授权成功，Better Auth 侧报 ID token 校验错误。原因：你把tenantId设成了某个具体租户，但登录的人来自别的租户。微软会按该账号真实所属的租户签发令牌，颁发者和你的预期对不上，Better Auth 拒绝接受。解决：确认用户群落在哪个范围，跨租户就改回organizations，单租户才锁具体 GUID。

登录成功，但 profile 里 email 为空

现象：用户登进来了，用户记录里邮箱却是空值。原因：Entra 对托管账户默认不输出email声明，Better Auth 不会凭空补一个。解决：在应用注册的"令牌声明"里添加email这个 optional claim，之后新签发的令牌就会带上邮箱。