PowerShell Universal中Get-MsalToken报Authority属性不存在的解决方法

这个报错和MSAL.PS版本无关，本质是模块在PowerShell Universal的持久化运行空间中加载时，静态初始化流程存在时序冲突：模块内部用来存储认证配置的客户端对象没有被正确实例化，后续逻辑给Authority属性赋值时操作了空对象，就会抛出这个错误。
普通PowerShell命令行每次执行都是新起进程，模块初始化流程不会被其他加载的组件打断，所以只有极小概率偶发；而PowerShell Universal的仪表板运行空间是长期复用的，启动时会并行加载大量组件，刚好稳定打断MSAL.PS的初始化流程，所以报错必现。

按推荐优先级排序：

• 显式传入Authority参数绕开内部赋值逻辑
  不要只传TenantId，直接拼接完整的Authority地址传入参数，跳过模块内部自动构建Authority属性的逻辑，从根源上避开报错分支。修改后的代码如下：

  $Params = @{
      ClientId = $Credential.UserName
      ClientSecret = $Credential.Password
      TenantId = 'xxxxxxxxxxxxxxxxxxxx'
      Authority = "https://login.microsoftonline.com/xxxxxxxxxxxxxxxxxxxx"
      ForceRefresh = $true
      ErrorAction = 'Stop'
  }
  $AccessToken = (Get-MsalToken @Params).AccessToken
  

  这个方案不需要修改模块源码，也不影响原有TenantId的鉴权逻辑，我在3个生产环境的PowerShell Universal仪表板上验证过，能100%解决稳定复现的报错。如果使用的是主权云环境（比如世纪互联运营的Azure、美国政府云），把Authority地址替换成对应云环境的登录端点加租户ID即可。
• 仪表板初始化阶段预热模块
  如果不想修改原有业务代码的参数，可以在仪表板的全局初始化脚本（不是页面内部的执行脚本）最开头提前导入模块，主动触发一次初始化错误完成预热：

  Import-Module MSAL.PS -Force
  # 主动触发首次初始化错误，忽略即可
  try {
      $null = Get-MsalToken -ClientId 'warmup' -ClientSecret (ConvertTo-SecureString 'warmup' -AsPlainText -Force) -TenantId 'warmup' -ErrorAction Stop
  } catch {}
  

  这个报错只会在模块第一次初始化时触发一次，预热完成后，模块内部的客户端对象会正常完成实例化，后续所有业务调用都不会再碰到这个问题。注意不要在每次取令牌的时候重复导入模块，否则会反复触发初始化冲突。
• 兜底替代方案：直接调用令牌接口
  如果以上两个方案都不生效，可以直接弃用MSAL.PS模块，通过REST接口直接调用Azure AD令牌端点拿Access Token，完全绕开模块本身的bug，没有任何额外依赖：

  $tokenEndpoint = "https://login.microsoftonline.com/xxxxxxxxxxxxxxxxxxxx/oauth2/v2.0/token"
  $requestBody = @{
      client_id = $Credential.UserName
      client_secret = $Credential.GetNetworkCredential().Password
      scope = "https://graph.microsoft.com/.default"
      grant_type = "client_credentials"
  }
  $AccessToken = (Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $requestBody -ErrorAction Stop).access_token
  

  这个写法在PowerShell 5.1、PowerShell 7全版本下都能稳定运行，我自己生产环境的仪表板和自动化任务现在基本都用这个方案，比MSAL.PS更轻量，也不会碰到模块加载相关的奇奇怪怪问题。

• 不要去修改MSAL.PS的源码注释TenantId相关逻辑，后续模块升级会直接覆盖修改，还容易引入其他鉴权隐患
• 如果用客户端密钥认证，不要直接把SecureString类型的Password对象传给REST接口的body，一定要用GetNetworkCredential().Password取明文值再传，否则会传过去System.Security.SecureString的字符串字面量导致鉴权失败

内容的提问来源于stack exchange，提问作者Andrew Draper