MSAL .NET设备码认证在Docker运行的ASP.NET API中无法正常工作

报错代码AADSTS7000218的核心含义是Azure AD将你的客户端判定为机密客户端，要求请求携带client_secret或client_assertion参数，但你用的设备码流属于公开客户端场景，本不需要该参数。本地运行正常、容器内异常的常见原因及排查步骤如下：

1. 优先排查应用注册配置 #

• 登录Azure门户进入对应应用注册页，切换到「身份验证」标签，拉到最下方的「高级设置」区域
• 确认允许公共客户端流的开关已经设置为「是」

注意：如果本地用的ClientId和容器内用的不是同一个，要检查容器配置对应的应用注册的开关状态

2. 确认容器内配置与本地完全一致 #

多数此类问题都是容器环境配置被覆盖导致的，建议添加日志确认以下参数：

• 容器内加载的ClientId、租户ID是否和本地运行时完全一致
• 确认msalOptions中没有传入多余的ClientSecret参数（公开客户端传入密钥会被Azure AD误判为机密客户端）
• 检查Docker打包过程、容器启动时传入的环境变量是否覆盖了appsettings.json里的身份认证相关配置

3. 排除本地缓存干扰 #

本地运行时触发的可能是静默刷新逻辑，没有走全新的设备码认证请求：

• 删除本地缓存目录~/cache下的相关文件，Mac环境同时删除钥匙串中对应app_context的条目
• 本地重新运行程序触发全新设备码认证，确认本地是否也会出现相同报错

若本地清理缓存后也报错，说明和Docker环境无关，是应用注册配置问题

4. 其他排查方向 #

• 升级MSAL.Net版本到最新稳定版，你当前使用的4.36.0版本存在少量容器环境兼容性已知问题
• 确认容器内的网络可以正常访问Azure AD的认证端点，没有被代理、防火墙篡改请求内容

内容的提问来源于stack exchange，提问作者Eugen Meissner