使用simple-salesforce对接Salesforce触发MFA要求的解决方法咨询

• 不存在合规的Salesforce强制MFA绕过方案，所有尝试绕过平台强制MFA校验的操作，都会触发平台安全风控机制，直接导致账号访问被阻断、权限被回收，甚至关联的组织应用接口访问资格被封禁。
• 原有的用户名+密码+安全令牌的基础认证方式，在组织启用强制MFA规则后会被平台直接拦截，因为该认证流程无法关联用户账号的MFA绑定状态，无法满足平台的安全校验要求。

• 方案1：基于Connected App的OAuth 2.0认证，这是Salesforce官方针对接口类应用适配强制MFA的标准推荐路径
  • 配置逻辑：在Salesforce后台创建专属Connected App，配置OAuth权限范围，将该Connected App与已完成MFA绑定的服务账号做关联授权，接口认证流程通过令牌换取逻辑完成，不需要每次请求触发MFA二次因子校验
  • 对应实现代码：

    from simple_salesforce import Salesforce
    
    sf = Salesforce(
        username='myemail@example.com',
        consumer_key='Connected App对应的客户端Key',
        consumer_secret='Connected App对应的客户端密钥',
        domain='login' # 生产环境使用login，沙箱环境替换为test
    )
    

• 方案2：使用服务账号生成的长期集成令牌认证
  • 配置逻辑：在已完成MFA绑定的服务账号下，生成专门用于API对接的长期集成令牌，该令牌的访问权限会自动继承账号的MFA绑定状态，认证时不需要单独触发二次校验流程
  • 对应实现代码：

    from simple_salesforce import Salesforce
    
    sf = Salesforce(
        session_id='生成的长期集成令牌',
        instance_url='组织对应的实例地址' # 例如 https://<你的企业域名>.my.salesforce.com
    )
    

• 方案3：纯API服务账号的MFA规则豁免配置
  • 配置逻辑：如果对接用的账号仅用于API数据同步、没有任何人工登录权限，可在组织MFA规则配置中将该账号加入API访问豁免名单，该操作需要经过组织安全团队的合规审核，且仅对纯API访问场景生效，不影响普通用户的MFA强制要求。

注意：所有适配方案都要求预先在对接使用的服务账号上完成至少一次MFA绑定操作（例如绑定身份验证器、安全密钥），才能通过Salesforce的强制MFA校验，不存在完全跳过MFA绑定步骤的操作路径。

内容的提问来源于stack exchange，提问作者kjay