调用Graph API遇MsalUiRequiredException：普通窗口SSO报错无痕窗口正常

问题分析 #

在SSO登录场景下，普通浏览器调用Microsoft Graph API的/me端点触发该异常，而无痕模式正常，核心原因是token缓存中无法找到对应用户的有效账户信息：

• SSO登录后，系统未正确将用户账户信息存入token缓存
• 多账户登录场景下，未指定要使用的目标账户
• OpenID Connect配置缺失必要参数，导致用户标识信息未被完整保存

解决方案 #

1. 完善OpenID Connect配置，确保账户信息被缓存 #

修改Program.cs中的认证配置，开启令牌保存并添加token验证事件，确保用户账户信息被正确识别：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(options =>
    {
        builder.Configuration.Bind("AzureAd", options);
        // 保存令牌到HttpContext，便于后续获取
        options.SaveTokens = true;
        // 在令牌验证完成后，提取并保存用户账户信息
        options.Events.OnTokenValidated = context =>
        {
            var msalAccount = context.Principal.GetMsalAccount();
            if (msalAccount != null)
            {
                context.HttpContext.Items["MsalAccount"] = msalAccount;
            }
            return Task.CompletedTask;
        };
    })
    .EnableTokenAcquisitionToCallDownstreamApi(new[] { "User.Read" })
    .AddMicrosoftGraph(builder.Configuration.GetSection("MicrosoftGraph"))
    .AddInMemoryTokenCaches();

2. 在业务逻辑中处理账户缺失异常 #

修改GraphHelperService，捕获MsalUiRequiredException并触发交互式登录（需结合控制器逻辑）：

using Microsoft.Graph;
using Microsoft.Graph.Models;
using Microsoft.Identity.Web;
using System.Threading.Tasks;

public class GraphHelperService
{
    private readonly GraphServiceClient _graphClient;
    private readonly ITokenAcquisition _tokenAcquisition;

    // 注入ITokenAcquisition服务，用于触发交互式登录
    public GraphHelperService(GraphServiceClient graphClient, ITokenAcquisition tokenAcquisition)
    {
        _graphClient = graphClient;
        _tokenAcquisition = tokenAcquisition;
    }

    public async Task<User> GetUserAsync()
    {
        try
        {
            return await _graphClient.Me.GetAsync();
        }
        catch (MsalUiRequiredException ex)
        {
            // 触发交互式登录，获取新的令牌
            await _tokenAcquisition.ReplyForbiddenWithWwwAuthenticateHeaderAsync(new[] { "User.Read" });
            throw; // 抛出异常让框架处理重定向
        }
    }
}

3. 确保控制器动作已授权 #

在调用GetUserAsync的控制器方法上添加[Authorize]特性，确保用户已完成认证：

[Authorize]
public class HomeController : Controller
{
    private readonly GraphHelperService _graphHelper;

    public HomeController(GraphHelperService graphHelper)
    {
        _graphHelper = graphHelper;
    }

    public async Task<IActionResult> Index()
    {
        var user = await _graphHelper.GetUserAsync();
        // 将用户信息传入视图展示在导航栏
        ViewBag.UserName = user.DisplayName;
        return View();
    }
}

4. 临时清理浏览器缓存 #

普通浏览器中出现异常可能是旧的认证缓存干扰，可尝试：

• 清除浏览器的Cookie和缓存
• 退出所有已登录的Microsoft账户后重新登录

关键说明 #

• GetMsalAccount()方法用于从当前用户的ClaimsPrincipal中提取MSAL账户信息，确保token缓存能找到对应条目
• SaveTokens = true会将id_token、access_token等保存到HttpContext，便于后续token获取
• ITokenAcquisition.ReplyForbiddenWithWwwAuthenticateHeaderAsync()会触发框架重定向到登录页面，获取新的有效令牌

内容的提问来源于stack exchange，提问作者Preet Patel