使用MSAL无法从Mulesoft获取Access Token和ID Token

• 使用MSAL的PublicClientApplication构建客户端，代码如下：

IPublicClientApplication msalClient = PublicClientApplicationBuilder.Create(ClientId)
                           .WithAuthority(new Uri(config.Authority))
                           .WithRedirectUri("http://localhost")
                           .Build();

• 调用AcquireTokenInteractive方法传入作用域（如api:xxxxx-xxxxxx-xx-xxxx-xx-xx-xxx/accessxxxxx openid）获取令牌：

AuthenticationResult msalAuthenticationResult = await msalClient
            .AcquireTokenInteractive(scopes)
            .ExecuteAsync();

• 登录弹窗输入凭据后报错，但相同凭据在Postman中可正常获取令牌。

排查与解决步骤 #

1. 核对重定向URI配置
   检查身份提供商后台的客户端应用重定向URI列表，确认是否包含代码中使用的http://localhost；同时对比Postman请求里的重定向URI，确保代码中的配置和Postman一致，或者将代码中的重定向URI改为Postman使用的有效值。

2. 校验作用域格式
   对比Postman请求中的作用域参数，确保代码里的作用域和Postman完全一致——包括大小写、分隔符、是否带有/.default这类后缀（部分身份提供商有格式要求）。

3. 添加日志捕获错误详情
   给MSAL客户端添加日志输出，获取具体错误信息：

   msalClient.AddLogging((level, message, containsPii) =>
   {
       Console.WriteLine($"MSAL Log: {level} - {message}");
   });
   

   执行后查看日志，定位是权限不足、端点错误还是其他具体问题。

4. 验证Authority端点准确性
   确认config.Authority的URI和Postman中使用的授权端点完全一致，包括是否带有/oauth2/v2.0/authorize这类精确路径后缀，部分场景下Authority需要指向具体的授权端点。

5. 检查客户端应用配置
   登录身份提供商后台，确认：

   • 该客户端应用是否启用了公共客户端模式（对应代码中的PublicClientApplication）
   • 是否允许交互式登录流程
   • 应用权限列表是否包含请求作用域对应的权限

6. 强制启动新登录会话
   若本地缓存的旧账户信息导致冲突，可强制清空缓存启动新会话：

   AuthenticationResult msalAuthenticationResult = await msalClient
       .AcquireTokenInteractive(scopes)
       .WithAccount(null)
       .ExecuteAsync();
   

内容的提问来源于stack exchange，提问作者Detrick DeBurr