.NET 6 Razor Pages反复出现IDW10502/MsalUiRequiredException问题求助

问题根源 #

• 服务器端使用AddInMemoryTokenCaches存储token，这是内存级缓存，项目重启（构建后重新运行）时会被完全清空。
• 浏览器中的Azure AD身份认证Cookie并未随项目重启失效，因此User.Identity.IsAuthenticated仍为true，但服务器已无对应用户的token缓存记录。
• 调用GetAccessTokenForUserAsync时，MSAL框架尝试静默获取token，但既无缓存的可用token，也未传入登录提示参数，最终抛出MsalUiRequiredException。

永久修复方案 #

1. 替换内存token缓存为持久化缓存 #

内存缓存仅适合临时开发场景，频繁重启的环境需改用持久化缓存（如Redis、SQL Server），确保项目重启后token缓存不丢失。

Redis缓存配置示例：

// 先添加分布式Redis缓存服务
builder.Services.AddStackExchangeRedisCache(options =>
{
    options.Configuration = builder.Configuration["Redis:ConnectionString"];
    options.InstanceName = "RazorPagesTokenCache";
});

// 替换内存缓存为分布式token缓存
builder.Services.AddMicrosoftIdentityWebAppAuthentication(builder.Configuration, "AzureAd")
                .EnableTokenAcquisitionToCallDownstreamApi(graphScope)
                .AddDistributedTokenCaches();

SQL Server缓存配置示例：

// 先配置数据库上下文
builder.Services.AddDbContext<TokenCacheDbContext>(options =>
    options.UseSqlServer(builder.Configuration.GetConnectionString("TokenCacheConn")));

// 替换内存缓存为SQL Server token缓存
builder.Services.AddMicrosoftIdentityWebAppAuthentication(builder.Configuration, "AzureAd")
                .EnableTokenAcquisitionToCallDownstreamApi(graphScope)
                .AddSqlServerTokenCaches();

2. 在获取token时添加异常处理 #

捕获MsalUiRequiredException并触发重新认证流程，避免未处理异常中断请求：

try
{
    var graphScope = _configuration["GraphSettings:Scope"];
    AccessToken = await _tokenAcquisition.GetAccessTokenForUserAsync(new string[] { graphScope });
}
catch (MsalUiRequiredException ex)
{
    // 触发Www-Authenticate头，引导用户重新获取token
    await _tokenAcquisition.ReplyForbiddenWithWwwAuthenticateHeaderAsync(
        new string[] { graphScope }, 
        ex.Message, 
        ex);
    // 或直接重定向到登录页
    // return RedirectToPage("/Account/Login");
}

3. 可选：匹配认证Cookie与token有效期 #

调整认证Cookie的生命周期，使其与token有效期对齐，减少Cookie有效但token缓存丢失的情况：

builder.Services.ConfigureApplicationCookie(options =>
{
    options.ExpireTimeSpan = TimeSpan.FromHours(1); // 与Azure AD token默认有效期匹配
    options.SlidingExpiration = true;
});

额外说明 #

• 若开发环境暂时不想用持久化缓存，可在项目启动时强制清除认证会话，但这仅为临时替代方案，不适合长期使用。
• 确保Azure AD应用注册中已正确授权GraphSettings:Scope配置的权限，避免因权限缺失导致token获取失败。

内容的提问来源于stack exchange，提问作者Steve