MSAL acquireTokenSilent每次发起新请求，忽略缓存问题排查

环境信息 #

• 依赖版本：@azure/msal-browser 3.20.0、@azure/msal-react 2.0.22
• 场景：React单页应用+后端API，已完成双应用注册、自定义API暴露及管理员同意，API调用可正常返回200

问题概况 #

调用instance.acquireTokenSilent时，每次都会触发向微软的请求，完全不使用缓存中已存在的有效令牌，且重复获取的令牌和缓存内的完全一致。另外发现缓存里的target字段是完整的scope值api://my-guid/tasks.read，但解密访问令牌后，scp字段只有tasks.read，不带前缀。

一、解决acquireTokenSilent不命中缓存的问题 #

1. 严格匹配请求参数与缓存项
   确保调用acquireTokenSilent时传入的scopes和缓存里的target完全一致，包括格式、大小写，不能简写成["tasks.read"]，必须完整传["api://my-guid/tasks.read"]。同时检查请求里的authority和msalConfig配置的完全一致，tenant-guid别写错。

2. 验证缓存令牌状态
   打开浏览器开发者工具，查看sessionStorage里的msal.{clientId}.tokenCache：

   • 确认缓存的访问令牌expiresOn字段对应的时间戳还在有效期内；
   • 检查homeAccountId是否和当前活跃用户匹配。

3. 显式传入账户参数
   MSAL v3缓存匹配逻辑很严格，若调用时没传account，可能因为账户匹配问题导致缓存失效。试试显式传入活跃账户：

   const activeAccount = instance.getActiveAccount();
   const tokenResponse = await instance.acquireTokenSilent({
       ...loginRequest,
       account: activeAccount
   });
   

4. 检查forceRefresh是否被覆盖
   虽然你在loginRequest里设了forceRefresh: false，但要确认调用acquireTokenSilent时，这个参数没被其他代码意外改成true。

二、关于令牌scp字段无前缀的说明 #

这是正常现象：当你用api://{client-id}/{scope-name}格式请求自定义API的权限时，Azure AD颁发令牌时会自动去掉api://{client-id}/前缀，只保留scope-name作为scp字段的值。后端API验证令牌时，会通过aud字段（即API的client-id）和scp字段共同判断权限，这个前缀缺失完全不影响验证逻辑。

内容的提问来源于stack exchange，提问作者Martin