MSAL.NET嵌入式Azure AD登录在安全验证流程中显示'Unsupported browser'

环境与代码 #

使用的NuGet包 #

<package id="Microsoft.Identity.Client" version="4.61.3" targetFramework="net48" />
<package id="Microsoft.Identity.Client.Desktop" version="4.61.3" targetFramework="net48" />

代码实现 #

var app = PublicClientApplicationBuilder
    .Create(clientId)
    .WithAuthority("https://login.microsoftonline.com/{tenantId}")
    .WithRedirectUri("https://login.microsoftonline.com/common/oauth2/nativeclient")
    .WithWindowsEmbeddedBrowserSupport()
    .Build();
...
AuthenticationResult result = await app
    .AcquireTokenInteractive(scopes)
    .WithUseEmbeddedWebView(true)
    .ExecuteAsync()
    .ConfigureAwait(false);

问题现象 #

1. 用户选择账户
2. 用户输入密码
3. 显示“Let’s keep your account secure”页面
4. 点击“Next”打开新页面
5. 新页面提示“Unsupported browser”，无法完成额外安全验证，登录失败

特殊情况：用户点击“Use a different account”后再次选择同一账户，有时能登录成功

疑问 #

1. 该行为的可能原因是什么？
2. 是否有受支持的方式强制使用非IE嵌入式浏览器（如WebView2）进行Azure AD/Entra ID嵌入式身份验证？
3. 对于涉及MFA、条件访问、安全信息验证、Windows Hello等额外安全流程的桌面应用，微软的推荐方案是什么？

问题解答 #

1. 行为原因分析 #

问题核心在于当前使用的是IE内核的嵌入式WebView，而Azure AD的部分安全验证流程（比如MFA、安全信息设置）已不再支持IE浏览器。当流程跳转到需要现代浏览器支持的页面时，就会触发“Unsupported browser”报错。

至于“切换账户后偶尔成功”，大概率是因为此时复用了之前已完成部分验证的会话缓存，跳过了IE不支持的页面环节，属于偶然情况，并非稳定解决方案。

2. 强制使用WebView2的方案 #

MSAL.NET从版本4.50+开始支持WebView2，可通过以下方式强制启用：

• 确保已安装Microsoft.Identity.Client.Desktop包（当前版本已满足）
• 在代码中指定使用WebView2：

  AuthenticationResult result = await app
      .AcquireTokenInteractive(scopes)
      .WithUseEmbeddedWebView(true)
      .WithWebViewPreference(WebViewPreference.WebView2) // 强制指定WebView2
      .ExecuteAsync()
      .ConfigureAwait(false);
  

• 额外注意：用户设备需要提前安装WebView2运行时，如果未安装，MSAL会自动回退到IE内核。可引导用户安装运行时，或在应用打包时包含WebView2运行时的固定版本。

3. 微软推荐的桌面应用身份验证方案 #

针对涉及MFA、条件访问等复杂安全流程的桌面应用，微软推荐方案如下：

• 优先使用WebView2作为嵌入式浏览器：WebView2基于Chromium内核，完全支持Azure AD所有安全验证流程，是当前MSAL.NET的推荐嵌入式WebView选项。
• 考虑使用系统浏览器而非嵌入式WebView：如果嵌入式WebView仍有兼容性问题，可去掉.WithUseEmbeddedWebView(true)配置，MSAL会自动切换到系统默认浏览器（Chrome、Edge等）完成登录。这种方式兼容性最好，所有安全验证流程都能正常支持，但会弹出外部浏览器窗口。
• 利用Windows Hello等原生验证方式：对于Windows设备，推荐使用.WithWindowsHelloSupport()启用Windows Hello无密码登录，直接通过系统原生验证完成身份确认，无需依赖浏览器流程，体验更流畅且安全。
• 保持MSAL.NET版本更新：微软会持续修复浏览器兼容性问题，建议升级到最新稳定版的MSAL.NET和MSAL.Desktop包，获取最新的浏览器支持特性。

内容的提问来源于stack exchange，提问作者drgnuu29