Linux Azure Web App中MSAL授权出现‘当前环境无浏览器’错误如何解决？

背景 #

现有一套基于Gradio前端的解决方案：用户点击按钮后，通过Azure Authentication与MSAL触发登录提示，获取令牌后调用GraphAPI获取已认证用户的Azure邮箱。本地及Docker化环境运行正常，但部署至Azure Web Apps时出现错误。

现有核心代码 #

def get_username():
    # Your existing code
    credential = DefaultAzureCredential()
    key_vault_url = "https://XXXXX.vault.azure.net/"
    client = SecretClient(vault_url=key_vault_url, credential=credential)

    secret_name = "subid"
    subid = client.get_secret(secret_name).value

    secret_name = "client-secret"
    client_secret = client.get_secret(secret_name).value

    secret_name = "client-id"
    client_id = client.get_secret(secret_name).value

    print("Secrets read from KV")

    authority = f'https://login.microsoftonline.com/{subid}'
    scope = ["https://graph.microsoft.com/.default"]

    app = msal.PublicClientApplication(
            client_id,
            authority=authority,
    )

    token_response = app.acquire_token_interactive(scopes=scope)
    access_token = token_response['access_token']

    headers = {
            'Authorization': f'Bearer {access_token}'
    }

    response = requests.get('https://graph.microsoft.com/v1.0/me', headers=headers)
    user_data = response.json()

    email = user_data["mail"]

    return f"Username: {email}"

部署后错误信息 #

Found no browser in current environment. If this program is being run inside a container which has access to host network (i.e. started by `docker run --net=host -it ...`), you can use browser on host to visit the following link. Otherwise, this auth attempt would either timeout (current timeout setting is None) or be aborted by CTRL+C. Auth URI: https://login.microsoftonline.com/93f33571-550f-43cf-b09f-cd331338d086/oauth2/v2.0/authorize?client_id=c717af3f-df2d-4790-8c5f-d3829d34991a&response_type=code&redirect_uri=http%3A%2F%2Flocalhost%3A35479&scope=https%3A%2F%2Fgraph.microsoft.com%2F.default+offline_access+openid+profile&state=RsIQdlWULnvGrqPe&code_challenge=C0uwlEVEkKqr76_h9kHjRTsLavlXHija4WG2DQlp4B4&code_challenge_method=S256&nonce=32b2eac9decbaeea457ce0effcee125e8336eca3db81ebda868598b72c7e3853&client_info=1

可行解决方案 #

1. 切换为授权码流（推荐，适配Web应用场景） #

交互式登录acquire_token_interactive依赖本地浏览器环境，Azure Web Apps容器无浏览器且无法配置host网络，因此需改用授权码流，通过用户浏览器重定向完成认证：

• Azure AD应用配置：

  • 在Azure AD应用注册中添加Web平台的重定向URI，设置为你的Web Apps域名（例如https://<your-app-name>.azurewebsites.net/auth/callback）。
  • 确保应用启用"授权码流"（默认已启用）。

• 代码修改：
  替换MSAL客户端类型和令牌获取逻辑，使用ConfidentialClientApplication（Web应用属于机密客户端）：

  def get_auth_url():
      # 保留从Key Vault获取client_id、client_secret、subid的逻辑
      authority = f'https://login.microsoftonline.com/{subid}'
      scope = ["https://graph.microsoft.com/.default"]
  
      # 初始化机密客户端
      app = msal.ConfidentialClientApplication(
          client_id,
          authority=authority,
          client_credential=client_secret
      )
      # 生成授权跳转URL
      auth_url = app.get_authorization_request_url(
          scopes=scope,
          redirect_uri="https://<your-app-name>.azurewebsites.net/auth/callback"
      )
      return auth_url
  
  # 处理回调路由（需配合Gradio的自定义路由或FastAPI集成）
  def handle_callback(code):
      app = msal.ConfidentialClientApplication(
          client_id,
          authority=authority,
          client_credential=client_secret
      )
      token_response = app.acquire_token_by_authorization_code(
          code,
          scopes=scope,
          redirect_uri="https://<your-app-name>.azurewebsites.net/auth/callback"
      )
      access_token = token_response['access_token']
      # 保留后续调用GraphAPI获取邮箱的逻辑
  

2. 使用Azure Web Apps内置Easy Auth（最省心方案） #

直接让Azure Web Apps托管认证流程，无需手动处理MSAL：

• 操作步骤：

  1. 在Azure Portal打开你的Web Apps资源，进入"认证"面板，启用"App Service 认证"。
  2. 选择"Microsoft"作为身份提供者，配置现有Azure AD应用或自动创建新应用。
  3. 设置"未认证时的操作"为"登录"，强制用户先完成认证再访问应用。

• 代码简化：
  无需调用GraphAPI，直接从请求头获取用户邮箱：

  # 假设使用Gradio的FastAPI集成获取请求头
  from fastapi import Request
  
  def get_username(request: Request):
      email = request.headers.get('X-MS-CLIENT-PRINCIPAL-NAME')
      return f"Username: {email}"
  

3. 备选：设备代码流（仅适合非终端用户场景） #

如果无法修改为Web式认证，可改用设备代码流，让用户在其他设备的浏览器输入代码完成认证，但用户体验较差，不推荐面向终端用户的Web应用：

def get_username():
    # 保留从Key Vault获取配置的逻辑
    app = msal.PublicClientApplication(client_id, authority=authority)
    flow = app.initiate_device_flow(scopes=scope)
    # 在Gradio界面显示flow['message']中的验证URL和代码
    print(flow['message'])
    token_response = app.acquire_token_by_device_flow(flow)
    # 保留后续获取邮箱的逻辑

内容的提问来源于stack exchange，提问作者Metel Stairs