使用msal-browser访问Azure Blob Storage认证失败，令牌范围缺失

1. 确认权限是否已获得管理员同意 #

Azure Storage的user_impersonation委托权限默认需要管理员同意（个人Microsoft账户除外）。如果你的应用部署在Azure AD租户下，必须由租户管理员登录Azure门户，进入应用注册→API权限→点击「授予管理员同意」按钮，确保该权限已被正式授予。

未完成管理员同意的情况下，普通用户登录时只会获取到无需管理员授权的权限（比如User.Read），user_impersonation不会被包含在返回的scope列表中。

2. 处理acquireTokenSilent的缓存缺失情况 #

acquireTokenSilent仅从本地缓存中获取令牌，如果缓存中没有包含https://storage.azure.com/user_impersonation的令牌，它会直接抛出错误，不会自动触发交互式权限请求。你需要捕获该错误，调用acquireTokenPopup来主动获取包含目标scope的令牌：

修改你的useEffect逻辑，添加错误处理分支：

useEffect(() => {
    if (!account) {
        return;
    }

    instance.acquireTokenSilent({
        scopes: ["user.read", "https://storage.azure.com/user_impersonation"],
        account: account,
    }).then(async response => {
        // 现有Blob操作逻辑
    }).catch(error => {
        // 缓存无对应令牌，触发交互式权限请求
        if (error instanceof InteractionRequiredAuthError) {
            instance.acquireTokenPopup({
                scopes: ["https://storage.azure.com/user_impersonation"],
                account: account,
            }).then(response => {
                // 拿到包含storage权限的令牌后执行Blob操作
                const tokenCredential = new CustomTokenCredential(response.accessToken, response.expiresOn);
                const bsc = new BlobServiceClient("https://myblobcontainername.blob.core.windows.net", tokenCredential);
                const containers = [];
                for await (const container of bsc.listContainers()) {
                    containers.push(container);
                }
                setMyData(containers);
            });
        }
    });
}, [account, instance]);

3. 验证权限配置与登录流程 #

• 检查Azure门户的应用注册：确认已添加Azure Storage的user_impersonation委托权限（注意是「委托权限」而非「应用权限」）。
• 确认loginPopup中的scope拼写完全正确：https://storage.azure.com/user_impersonation（注意协议为https，无拼写错误）。
• 首次登录时，检查弹窗是否显示「访问Azure存储」相关的权限请求，如果未显示，说明权限配置未生效。

4. 验证令牌内容（可选） #

可以将返回的accessToken复制到JWT解析工具中，查看scp字段是否包含user_impersonation。如果没有，说明令牌确实未携带该权限，回到前面的步骤排查。

内容的提问来源于stack exchange，提问作者Mark