使用azure/msal-angular v2.3与ADB2C自定义策略遇MFA及令牌过期问题

错误核心分析 #

日志中的invalid_grant错误（AADB2C90080）表明用于获取令牌的授权凭证（授权码或刷新令牌）已过期。虽然MSAL 2.x确实自动处理令牌刷新，但以下场景会导致刷新失效，进而触发重复MFA：

• 刷新令牌本身过期
• 静默刷新流程失败
• MFA会话未持久化

具体排查与修复步骤 #

1. 检查自定义策略的令牌有效期配置 #

• 授权码有效期：ADB2C默认授权码有效期为5分钟（300秒），若自定义策略中通过<Item Key="authorizationCodeLifetimeInSeconds">修改了这个值，过长可能导致凭证过期，过短则会让用户在MFA步骤中来不及完成操作就失效。建议保持默认300秒，或根据流程复杂度微调至不超过600秒。
• 刷新令牌有效期：默认24小时，若用户闲置时间超过这个时长，刷新令牌过期，MSAL会触发交互式认证。可通过策略中的<Item Key="refreshTokenLifetimeInSeconds">调整，比如延长至72小时（需权衡安全性）。
• MFA会话持久性：默认MFA会话有效期为7天，若未配置会话持久化，用户闲置后MFA会话失效，需重新验证。在自定义策略的MFA步骤<ClaimsProvider>中添加以下配置，延长MFA会话：

  <SessionManagement>
    <Item Key="KeepAliveInDays">7</Item>
  </SessionManagement>
  

2. 验证MSAL Angular的自动刷新配置 #

• 缓存位置：确保MsalModule配置中cacheLocation设为localStorage（sessionStorage会在浏览器关闭后丢失缓存，闲置后重新打开需重新认证）。
• 刷新偏移时间：检查tokenRefreshOffsetSeconds配置，默认300秒（令牌过期前5分钟刷新）。若网络延迟较高，可调整至600秒，避免因刷新不及时导致令牌过期。示例配置：

  MsalModule.forRoot(new PublicClientApplication({
    auth: {
      clientId: 'your-client-id',
      authority: 'https://your-b2c-domain.b2clogin.com/your-b2c-domain.onmicrosoft.com/your-sign-up-sign-in-policy',
      redirectUri: 'your-redirect-uri',
    },
    cache: {
      cacheLocation: 'localStorage',
    },
    system: {
      tokenRefreshOffsetSeconds: 600
    }
  }))
  

3. 排查静默刷新失败原因 #

• 启用详细日志：在MSAL配置中添加日志回调，查看静默刷新时的错误：

  system: {
    loggerCallback: (level, message, containsPii) => {
      if (containsPii) { return; }
      switch (level) {
        case LogLevel.Error:
          console.error(message);
          return;
        case LogLevel.Info:
          console.info(message);
          return;
        case LogLevel.Verbose:
          console.debug(message);
          return;
        case LogLevel.Warning:
          console.warn(message);
          return;
      }
    },
    logLevel: LogLevel.Verbose
  }
  

• 检查重定向URI：确保应用注册中添加了静默刷新所需的重定向URI（需与redirectUri一致，且标记为SPA类型）。
• 排查iframe拦截：部分浏览器或广告拦截器会阻止MSAL用于静默刷新的iframe，导致刷新失败。需提示用户关闭相关拦截工具，或在应用文档中说明。

4. 优化认证流程体验 #

• 若用户在MFA步骤停留时间过长导致授权码过期，可优化流程提示，引导用户尽快完成MFA验证。
• 避免在认证流程中添加不必要的步骤，减少用户操作耗时。

内容的提问来源于stack exchange，提问作者Ankush Daga