在Salesforce自定义组件中使用MSAL.js(v2)认证用户的弹窗问题求解

该报错由Salesforce Locker Service安全机制直接触发：Locker Service会对所有Lightning组件上下文中的window.open调用做封装校验，仅允许http、https、mailto协议的地址或站内相对路径通过。MSAL.js v2调用acquireTokenPopup()时构造的授权请求URL不符合Locker Service的校验规则，因此被拦截并抛出该错误，报错中的组件描述符仅为拦截触发的位置标识，并非组件本身代码存在语法问题。

• 先校验MSAL.js基础配置合规性
  确认MSAL初始化配置中的redirectUri参数为你的Salesforce Lightning域名对应的完整https地址，禁止使用相对路径或其他协议地址；同时authority参数需为标准Azure AD端点，格式为https://login.microsoftonline.com/{租户ID}，不要使用自定义域名或非https协议的授权地址。
• 优先使用重定向流替代弹窗流
  Lightning Locker对跨域弹窗的限制非常严格，兼容性最高的方案是将acquireTokenPopup()替换为acquireTokenRedirect()方法，同时在组件初始化逻辑中添加handleRedirectPromise()调用，处理Azure AD重定向回Salesforce后的令牌解析逻辑，完全规避弹窗拦截问题。
• 必须保留弹窗流的调整方案
  如业务逻辑要求必须使用弹窗模式，需要做两处配置：
  1. 在Salesforce设置的CSP信任站点（CSP Trusted Sites）中，将https://login.microsoftonline.com、https://login.live.com两个域名加入信任列表，勾选允许弹窗、允许脚本加载的权限；
  2. 调用acquireTokenPopup()时主动传入popupWindowAttributes参数，明确指定弹窗属性，避免MSAL默认构造的弹窗参数触发Locker校验。
• 升级安全模型到Lightning Web Security
  旧版Locker Service的限制规则更严苛，可在Salesforce设置中开启Lightning Web Security（LWS）替代旧版Locker，LWS对第三方JS的跨域调用、弹窗操作的兼容性更好，多数场景下开启后即可解决弹窗拦截问题。

内容的提问来源于stack exchange，提问作者Jaydeep Hirani