本地使用客户端凭证连接Azure Blob Storage报OAuth2 407错误如何解决

根本原因 #

错误栈中返回的StatusCode: 407是核心判断依据，这是HTTP代理身份验证要求的标准响应码。
你当前的VM所在网络配置了企业内网代理，代理要求所有对外请求必须提供身份验证凭证才会转发，你的应用未配置适配代理的参数，导致请求Azure AD OAuth端点时，拿到的是代理返回的身份验证提示响应，而非标准OAuth格式响应，因此MSAL抛出non_parsable_oauth_error解析失败错误。
本地Visual Studio运行正常是因为VS默认继承了当前登录用户的系统代理配置和身份凭证，请求会自动带上代理验证信息，无需额外配置即可正常访问。

排查步骤 #

• 验证VM网络连通性：在VM的浏览器中直接访问https://login.microsoftonline.com，确认是否弹出代理身份验证提示
• 核对应用运行身份：确认VM上应用的运行身份（比如IIS应用池身份、Windows服务运行账号）是否有代理访问权限
• 抓包验证响应来源：用Fiddler、tcpdump等工具抓取应用的OAuth请求，确认返回407的来源为内网代理服务器

修复方案 #

场景1：代理无需身份验证 #

在应用初始化ClientSecretCredential时传入配置了代理的HTTP客户端即可：

var httpClient = new HttpClient(new HttpClientHandler
{
    Proxy = new WebProxy("http://<代理地址>:<代理端口>", bypassOnLocal: true),
    UseProxy = true
});
var credentialOptions = new ClientSecretCredentialOptions
{
    Transport = new HttpClientTransport(httpClient)
};
var credential = new ClientSecretCredential("<租户ID>", "<客户端ID>", "<客户端密钥>", credentialOptions);

.NET框架应用也可以直接在配置文件中添加全局代理配置：

<system.net>
  <defaultProxy enabled="true" useDefaultCredentials="false">
    <proxy proxyaddress="http://<代理地址>:<代理端口>" bypassonlocal="true" />
  </defaultProxy>
</system.net>

场景2：代理需要身份验证 #

如果代理要求提供账号凭证，在代理配置中补充对应凭证即可：

var proxy = new WebProxy("http://<代理地址>:<代理端口>", bypassOnLocal: true)
{
    Credentials = new NetworkCredential("<代理用户名>", "<代理密码>", "<域（可选）>")
};
var handler = new HttpClientHandler
{
    Proxy = proxy,
    UseProxy = true,
    UseDefaultCredentials = false
};
// 后续将handler对应的HttpClient传入ClientSecretCredentialOptions即可

如果代理验证用的是VM当前登录用户的域凭证，也可以直接开启默认凭证配置，无需硬编码账号密码：

var handler = new HttpClientHandler
{
    UseProxy = true,
    UseDefaultCredentials = true
};

内容的提问来源于stack exchange，提问作者Hossein Nassiri