如何在CI环境的Selenium测试中解决AAD多因素认证问题

这个问题我之前帮不少开发者处理过，结合你用的adal-angular.js/adal.js和CI环境的特性，给你几个实用的解决方案，按优先级推荐：

1. 为测试账号/CI IP配置MFA豁免（最推荐） #

大多数支持ADAL的身份提供商（比如Azure AD）都允许通过条件访问策略针对特定场景豁免MFA：

• 针对CI服务器的固定IP段：创建一条条件访问规则，当请求来自CI服务器的IP范围时，跳过MFA验证。
• 针对测试专用账号：给测试账号单独设置MFA豁免，同时限制该账号的权限仅能访问测试环境资源。
• 优点：完全不需要改动代码，对生产环境零影响，安全性可控。
• 注意：务必确保测试账号权限最小化，CI服务器IP是固定可信的，避免引入安全风险。

2. 在ADAL配置或后端API中添加测试环境专属逻辑 #

如果身份提供商层面无法配置豁免，可以在代码层做环境区分：

前端SPA侧调整ADAL配置 #

在初始化ADAL时，通过环境变量判断是否为测试环境，调整认证流程：

// 示例：基于环境变量判断
const isTestEnv = process.env.NODE_ENV === 'test';

adalAuthenticationServiceProvider.init({
  clientId: 'your-client-id',
  tenant: 'your-tenant-id',
  // 测试环境下启用静默登录或自定义端点
  ...(isTestEnv ? {
    redirectUri: 'test-redirect-uri',
    extraQueryParameter: 'prompt=none' // 尝试静默登录，避免MFA弹窗
  } : {})
}, $httpProvider);

后端API侧验证逻辑调整 #

在API验证ADAL令牌时，检查环境标识，测试环境下跳过MFA声明校验：
比如，ADAL令牌的amr声明会包含mfa值（如果触发了MFA），测试环境中可以忽略这个要求：

// 示例：.NET后端的验证逻辑
if (!IsTestEnvironment() && !tokenClaims.Amr.Contains("mfa"))
{
    throw new UnauthorizedAccessException("MFA required");
}

• 注意：这个逻辑必须严格隔离在测试环境，绝对不能泄露到生产环境。

3. 直接注入预生成的测试令牌到SPA #

可以在CI环境中预先获取测试账号的有效令牌，然后通过Selenium注入到SPA的本地存储，绕过登录流程：

1. 手动登录测试账号，打开浏览器开发者工具，复制localStorage中ADAL存储的关键令牌：
   • adal.idtoken：ID令牌
   • adal.access.token.key{resource-url}：对应API的访问令牌
2. 在Selenium测试代码中，执行JavaScript注入这些令牌：

// Java示例
driver.executeScript("localStorage.setItem('adal.idtoken', 'your-test-id-token-value');");
driver.executeScript("localStorage.setItem('adal.access.token.keyhttps://your-api-resource', 'your-test-access-token-value');");

3. 刷新页面后，SPA会读取本地存储的令牌，认为已完成登录，不会触发MFA。

• 注意：令牌有有效期，需要定期更新，或者在CI流程中通过ADAL的客户端凭证流自动获取令牌（需确保测试账号允许该认证方式）。

4. 搭建测试专用的身份模拟服务 #

如果以上方法都受限，可以在测试环境替换ADAL的认证端点，用模拟服务返回无需MFA的令牌：

• 比如自定义一个简单的Node.js服务，模拟Azure AD的令牌颁发接口，返回符合ADAL格式的测试令牌。
• 修改SPA的ADAL配置，在测试环境中指向这个模拟服务，Selenium登录时直接调用模拟接口，跳过MFA流程。
• 优点：完全隔离测试环境和生产身份系统；缺点：需要额外维护模拟服务。

内容的提问来源于stack exchange，提问作者Ramesh Chandra