DefaultAzureCredential未读取msal-node缓存凭证，Electron集成Azure资源访问遇阻

一、DefaultAzureCredential报错的遗漏配置排查 #

• API权限未配置或未同意：
  确认你的Entra ID应用注册已添加目标Azure资源（如CosmosDB）的委托权限，例如Cosmos DB的Cosmos DB Built-in Data Contributor，并且已完成权限同意（租户级应用需管理员手动同意）。
• DefaultAzureCredential未绑定应用上下文：
  DefaultAzureCredential默认会尝试多种凭证源，但在Electron环境中无法自动识别msal-node已完成的用户认证上下文。初始化时需明确指定租户ID、客户端ID，并开启交互式凭证支持：

  const { DefaultAzureCredential } = require("@azure/identity");
  
  const credential = new DefaultAzureCredential({
    tenantId: "你的租户ID",
    clientId: "你的客户端ID",
    includeInteractiveCredentials: true,
    interactiveBrowserCredentialOptions: {
      // 可配置适配Electron的窗口参数，比如指定parentWindow
    }
  });
  

• Access Token受众不匹配：
  确保msal-node获取的accessToken的受众（aud声明）是目标Azure资源的URI，例如CosmosDB对应的受众为https://cosmos.azure.com/。若之前请求的是Graph API的token，无法用于访问CosmosDB，需在msal-node请求时指定正确的scopes：

  const tokenRequest = {
    scopes: ["https://cosmos.azure.com/.default"]
  };
  

二、直接使用已有Access Token构建凭证 #

完全可以利用已获取的租户ID、客户端ID和accessToken构建凭证，推荐使用Azure Identity库中的AccessTokenCredential：

const { AccessTokenCredential } = require("@azure/identity");
const { CosmosClient } = require("@azure/cosmos");

// 从msal-node认证结果中提取的参数
const accessToken = "你的accessToken";
const expiresOn = new Date("token的过期时间"); // 替换为实际过期时间
const tenantId = "你的租户ID";
const clientId = "你的客户端ID";

// 构建自定义凭证
const credential = new AccessTokenCredential(accessToken, expiresOn, {
  tenantId,
  clientId
});

// 初始化CosmosDB客户端
const cosmosClient = new CosmosClient({
  endpoint: "你的CosmosDB端点",
  credential: credential
});

注意：需确保accessToken的权限覆盖你要执行的Azure资源操作，且token未过期；若token即将失效，需用msal-node重新刷新获取新token后更新AccessTokenCredential。

内容的提问来源于stack exchange，提问作者Jana