我之前也有同样的想法，这是我的解决方案。
在前端，使用微软提供的 msal.js 实现登录模块并通过它生成访问令牌。然后在请求标头中发送带有 Bearer 令牌的 ajax 请求。在我的 springboot 后端应用程序中，请参考此示例以添加过滤器以验证传入请求中是否包含有效的访问令牌。过滤器需要检查请求标头中是否有令牌，然后对其进行解码并检查令牌是否已过期，如果需要，是否具有正确的范围。
这里有另一个任务，我们需要为后端 api 设置范围。这需要在 azure ad 中公开 api（创建 azure ad 应用程序并去公开 api 刀片以执行下一步操作）。您可以参考this了解详细信息。这里请注意，这里暴露的api是生成access token时的输入参数（我们需要设置scope参数，暴露的api就是将这个api权限添加到用于生成access token的azure ad app后的作用域）。
在这些操作之后，过滤器可以检查令牌是否包含您之前自定义的范围。我认为这是验证令牌最重要的。
过滤器代码：https ://stackoverflow.com/a/66097364/14574199
由于前端 - 后端模型，您可能需要为您的 springboot 应用程序使用 CORS 过滤器，如下所示：
package com.example.demo;
import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.springframework.core.annotation.Order;
import org.springframework.stereotype.Component;
@Order(Integer.MIN_VALUE)
@Component
public class CorsFilter implements Filter {
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
throws IOException, ServletException {
HttpServletResponse res = (HttpServletResponse) response;
res.addHeader("Access-Control-Allow-Credentials", "true");
res.addHeader("Access-Control-Allow-Origin", "*");
res.addHeader("Access-Control-Allow-Methods", "GET, POST, DELETE, PUT");
res.addHeader("Access-Control-Allow-Headers", "Content-Type,X-CAF-Authorization-Token,sessionToken,X-TOKEN,Authorization");
if (((HttpServletRequest) request).getMethod().equals("OPTIONS")) {
response.getWriter().println("ok");
return;
}
chain.doFilter(request, response);
}
@Override
public void destroy() {
}
@Override
public void init(FilterConfig filterConfig) throws ServletException {
}
}