咨询：Microsoft.Identity.Client库Veracode硬编码密码检测是否为误报

• 大概率是Veracode误报
  你查看MsalAccessTokenCacheItem构造函数源码的判断是准确的——这个构造函数仅负责接收并存储令牌相关的动态参数（如AccessToken、ClientId等），本身并没有硬编码任何密码或密钥。静态扫描工具有时会对处理敏感数据的方法产生误判，Veracode可能只是识别到该构造函数处理了敏感类型的数据，而非真正存在硬编码行为。

• 排查自身代码使用是否合规
  确认你的业务代码中没有通过该构造函数传入固定的敏感值（比如硬编码的Client Secret）。正常使用MSAL的场景下，令牌都是从Azure AD动态获取的，不会存在硬编码敏感信息的情况。如果你的代码是通过MSAL的标准API流程调用（如AcquireTokenForClient等），那使用方式本身没有问题。

• 解决建议

  • 向Veracode提交误报申诉：提供MsalAccessTokenCacheItem构造函数的功能分析，明确说明该方法仅接收动态参数、无硬编码内容，请求重新评估检测结果。
  • 持续跟进MSAL官方动态：虽然当前v4.55.0版本不存在该漏洞，但可以关注官方仓库的更新日志，确保使用的库始终是安全合规的版本。

内容的提问来源于stack exchange，提问作者Parth Sekar