如何强制WinForms应用登录时触发Azure AD MFA验证？

一、强制每次登录触发MFA验证 #

当前代码里的Prompt.NoPrompt会优先调用缓存的身份验证结果，这是重启应用不触发MFA的核心原因。要强制每次都验证，直接修改请求参数即可：

1. 替换Prompt参数
   把WithPrompt(Prompt.NoPrompt)改成WithPrompt(Prompt.ForceLogin)，这个参数会强制忽略现有缓存会话，要求用户重新登录并触发MFA（只要用户已启用MFA）。

修改后的代码片段：

authResult = await PublicClientApp
                  .AcquireTokenInteractive((IEnumerable<string>) scopes)
                  .WithParentActivityOrWindow(parentForm.Handle)
                  .WithPrompt(Prompt.ForceLogin) // 替换为ForceLogin
                  .WithLoginHint(loginHint)
                  .ExecuteAsync();

2. 强制MFA声明（可选）
   如果要确保Azure AD即使有会话缓存也必须触发MFA，可以添加WithClaims参数指定MFA要求：

var mfaClaims = new Dictionary<string, string>
{
    { "amr", "mfa" }
};

authResult = await PublicClientApp
                  .AcquireTokenInteractive((IEnumerable<string>) scopes)
                  .WithParentActivityOrWindow(parentForm.Handle)
                  .WithPrompt(Prompt.ForceLogin)
                  .WithLoginHint(loginHint)
                  .WithClaims(mfaClaims) // 添加MFA声明
                  .ExecuteAsync();

二、每日一次触发MFA验证 #

这种需求需要结合客户端时间检查和条件触发重新认证：

1. 记录上次认证时间
   认证成功后，把authResult.AuthenticationResultMetadata.AuthorizationTimestamp（或当前时间）保存到本地配置（比如WinForms的Settings.Default）。

2. 启动时判断是否需要重新验证
   发起认证请求前，检查上次认证时间是否超过24小时。如果超过，就用Prompt.ForceLogin强制重新验证；否则保留原有逻辑。

示例代码逻辑：

// 定义每日有效期
TimeSpan dailySession = TimeSpan.FromDays(1);
DateTime lastAuthTime = Properties.Settings.Default.LastAuthTime;

// 根据时间差选择Prompt类型
Prompt promptType = DateTime.Now - lastAuthTime > dailySession 
    ? Prompt.ForceLogin 
    : Prompt.NoPrompt;

authResult = await PublicClientApp
                  .AcquireTokenInteractive((IEnumerable<string>) scopes)
                  .WithParentActivityOrWindow(parentForm.Handle)
                  .WithPrompt(promptType)
                  .WithLoginHint(loginHint)
                  .ExecuteAsync();

// 更新本地存储的认证时间
Properties.Settings.Default.LastAuthTime = authResult.AuthenticationResultMetadata.AuthorizationTimestamp;
Properties.Settings.Default.Save();

注意：客户端时间检查存在被篡改的风险，如果需要绝对严格的每日验证，建议在Azure AD中配置条件访问策略，设置会话控制的「会话频率」为每天一次，由AD层面强制要求重新验证MFA。

内容的提问来源于stack exchange，提问作者JohnB