msal4j交互式浏览器认证跳转成功后抛连接超时异常求助

问题描述 #

我正在将msal4j（版本1.17.0）集成到桌面应用中，作为公共应用采用交互式浏览器请求流获取令牌，核心实现代码如下：

var application = PublicClientApplication.builder(CLIENT_ID)
          .authority("https://login.microsoftonline.com/" + TENANT_ID)
          .build();

var parameters =
          InteractiveRequestParameters.builder(new URI("http://localhost/"))
              .scopes(Set.of("openid"))
              .build();
return app.acquireToken(parameters).join();

应用部署后，Microsoft Edge浏览器打开并跳转至login.microsoftonline.com完成认证，随即重定向至http://localhost:{randomPort}，页面显示“Authentication complete. You can close the browser and return to the application.”，但同时日志抛出连接超时异常：

java.util.concurrent.CompletionException: com.microsoft.aad.msal4j.MsalClientException: java.net.ConnectException: Connection timed out: connect
    at com.microsoft.aad.msal4j.AuthenticationResultSupplier.get(AuthenticationResultSupplier.java:110) ~[some-desktop-gui.jar:?]
    ...（省略重复栈信息）

刷新localhost:{randomPort}地址时连接已断开，推测本地服务器在接收有效结果后关闭，但为何会抛出连接异常且无法获取令牌？

问题原因与解决方案 #

核心原因 #

MSAL4J在交互式流中会启动临时本地HTTP服务器接收重定向的认证响应，出现该问题主要有两类原因：

1. 本地服务器启动/连接失败：仅指定http://localhost/时，MSAL会随机选端口启动服务器，但可能因端口占用、防火墙拦截或权限问题，导致服务器未正常启动，MSAL客户端无法连接到本地服务器获取响应。
2. 重定向URI配置不匹配：Azure AD应用注册中配置的重定向URI若与代码中动态生成的http://localhost:{randomPort}不匹配，会导致认证响应无法正确传递，间接引发连接超时。

具体解决步骤 #

• 显式指定固定端口
  放弃随机端口，指定一个可用的固定端口，同时在Azure AD应用注册中添加对应重定向URI。修改代码：

  var parameters = InteractiveRequestParameters.builder(new URI("http://localhost:8888/"))
      .scopes(Set.of("openid"))
      .build();
  

  登录Azure AD门户，找到对应应用的认证页面，将http://localhost:8888/添加为公共客户端的重定向URI。

• 排查本地端口与防火墙

  • 用netstat -ano | findstr :8888（Windows）或lsof -i :8888（Linux/macOS）检查指定端口是否被占用，若占用则更换端口。
  • 临时关闭本地防火墙测试，确认是否是防火墙阻止了MSAL客户端与本地服务器的连接。

• 升级MSAL4J版本
  1.17.0属于旧版本，存在交互式流相关的已知bug，建议升级到最新稳定版（如2.x系列），新版本修复了大量本地服务器连接相关问题。

• 显式配置服务器参数
  通过serverPort方法强制指定端口，避免随机端口带来的不确定性：

  var parameters = InteractiveRequestParameters.builder(new URI("http://localhost:8888/"))
      .scopes(Set.of("openid"))
      .serverPort(8888)
      .build();
  

内容的提问来源于stack exchange，提问作者Michiel