MFA委托流触发失败：调用下游API未触发MFA验证

你当前传入WithClaims的参数格式完全错误——MSAL的WithClaims方法需要的是AAD返回的特定claims挑战JSON，而不是完整的错误响应对象。

错误原因 #

你现在传递的是下游API返回的完整insufficient_claims错误实体，但这个结构并不是MSAL能识别的claims挑战格式。触发MFA所需的claims需要是包含amr（认证方法参考）要求的特定JSON结构。

正确的claims格式 #

触发MFA的claims挑战应该是类似这样的结构：

{
  "access_token": {
    "amr": ["mfa"]
  }
}

修正步骤 #

1. 提取正确的claims挑战：
   当下游API返回insufficient_claims错误时，需要从错误响应中提取claims字段：

   • 优先检查错误的AdditionalInfo数组（你的示例中AdditionalInfo为null，所以需要从错误消息中提取）；
   • 从错误消息里找到类似claims={"access_token":{"amr":["mfa"]}}的片段，对这段字符串进行URL解码，得到标准JSON。

2. 修正代码调用：
   将解码后的claims JSON传入WithClaims，而不是完整的错误对象：

   // 假设已提取并解码得到正确的claimsJson字符串
   var claims = JsonSerializer.Deserialize<Dictionary<string, object>>(claimsJson);
   result = await _app.AcquireTokenInteractive(scopes)
                      .WithClaims(claims).ExecuteAsync();
   

这样调整后，MSAL会带着MFA要求的claims挑战向AAD请求令牌，就能触发MFA验证流程了。

内容的提问来源于stack exchange，提问作者gazzaCa