多个单租户Web应用共用Azure AD应用注册遇MSAL异常求助

针对同域名子路径部署的.NET 6应用共用Azure AD应用注册时出现的MSAL异常及登录循环问题，以下是具体修复步骤：

1. 解决No account or login hint was passed to the AcquireTokenSilent call异常 #

该异常核心是MSAL静默获取令牌时无法定位用户账户，需从缓存隔离和主动账户指定两方面处理：

• 按子路径隔离Token缓存：因共用Client ID，默认缓存会出现冲突，为每个子应用配置唯一缓存前缀：

  services.AddMicrosoftIdentityWebApp(Configuration)
      .EnableTokenAcquisitionToCallDownstreamApi()
      .AddInMemoryTokenCaches(options =>
      {
          // 子应用1设为"/subapp1"，子应用2设为"/subapp2"，主应用设为"/main"或空
          options.CacheKeyPrefix = "/subapp1"; 
      });
  

• 主动指定用户账户：调用Graph API前，从HttpContext获取当前用户账户，避免依赖默认值：

  var currentUser = _httpContextAccessor.HttpContext.User;
  var account = await _tokenAcquirer.GetAccountAsync(currentUser);
  
  if (account == null)
  {
      return Challenge(); // 无账户时重定向登录
  }
  
  var result = await _tokenAcquirer.AcquireTokenSilent(scopes, account).ExecuteAsync();
  

2. 修复切换应用时的登录无限循环 #

循环问题源于回调URL不匹配、Cookie配置冲突或会话状态丢失：

• 补全Azure AD回调URL：在应用注册的Redirect URIs中添加所有子应用的回调地址：
  • https://www.MainApp.com/signin-oidc
  • https://www.MainApp.com/subapp1/signin-oidc
  • https://www.MainApp.com/subapp2/signin-oidc
• 统一Cookie配置：确保同域名下的Cookie可跨子路径共享，避免冲突：

  services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
      .AddMicrosoftIdentityWebApp(Configuration)
      .AddCookie(options =>
      {
          options.Cookie.Domain = "MainApp.com";
          options.Cookie.Path = "/"; // 根路径确保子应用可访问
          options.Cookie.Name = ".AspNetCore.Microsoft.Identity.Web"; // 统一Cookie名称
      });
  

• 共享会话状态：禁用子应用独立会话，统一会话Cookie配置：

  services.AddSession(options =>
  {
      options.Cookie.Domain = "MainApp.com";
      options.Cookie.Path = "/";
  });
  

3. 额外排查点 #

• 确保所有应用强制使用HTTPS，Azure AD要求回调URL必须为HTTPS，HTTP环境会导致Cookie持久化失败。
• 启用MSAL日志捕获详细上下文，定位间歇性问题：

  services.AddLogging(builder =>
  {
      builder.AddFilter("Microsoft.Identity.Web", LogLevel.Debug);
      builder.AddFilter("Microsoft.Identity.Client", LogLevel.Debug);
  });
  

内容的提问来源于stack exchange，提问作者Rohit