使用Liquibase 4.32+Azure SQL用户分配托管身份遇JDBC认证错误求助

从错误信息来看，核心问题是MSAL4J库在解析Azure AD的错误响应时出现反序列化失败，同时伴随invalid_resource错误，说明Liquibase使用的JDBC驱动在请求托管身份令牌时，可能存在资源参数错误或依赖版本冲突的问题。结合你能通过curl成功获取令牌的情况，以下是具体排查和解决步骤：

1. 修正JDBC URL参数格式 #

你当前的URL使用user=<managed-identity-id>传递用户分配托管身份的ID，但对于Azure SQL的ActiveDirectoryManagedIdentity认证方式，正确的参数应该是clientId而非user。调整后的URL格式如下：

liquibase --changeLogFile=changelog.xml --url="jdbc:sqlserver://<dbserver>.database.windows.net:1433;database=<db>;Authentication=ActiveDirectoryManagedIdentity;clientId=<managed-identity-id>" update

说明：clientId参数明确指定用户分配的托管身份ID，驱动会以此为标识请求正确的令牌资源。

2. 解决MSAL4J依赖版本冲突 #

错误提示Cannot construct instance of com.microsoft.aad.msal4j.ManagedIdentityErrorResponse$ErrorField，通常是因为Liquibase的liquibase-azure-deps包中的MSAL4J版本与SQL Server JDBC驱动自带的MSAL4J版本不兼容，导致JSON反序列化逻辑冲突。

解决步骤： #

• 检查当前使用的SQL Server JDBC驱动版本，确保其MSAL4J版本与liquibase-azure-deps-4.32.0.jar中的版本一致。Liquibase 4.32对应的MSAL4J版本为1.23.0，推荐使用mssql-jdbc-12.4.0.jre8.jar或更高兼容版本。
• 移除项目中冲突的MSAL4J依赖，确保仅保留与Liquibase azure-deps匹配的版本。

3. 验证托管身份权限配置 #

虽然你能获取令牌，但仍需确认：

• 用户分配的托管身份已被添加到Azure SQL数据库的对应角色（如db_ddladmin或db_owner），可通过以下T-SQL验证：

  SELECT name, type_desc FROM sys.database_principals WHERE name = '<managed-identity-name>';
  

• Azure SQL服务器已启用Azure AD身份验证，且托管身份已被授予访问数据库的权限。

4. 强制指定令牌资源（可选） #

如果上述步骤无效，可尝试在JDBC URL中强制指定资源ID，确保驱动请求的资源与你curl命令中一致：

liquibase --changeLogFile=changelog.xml --url="jdbc:sqlserver://<dbserver>.database.windows.net:1433;database=<db>;Authentication=ActiveDirectoryManagedIdentity;clientId=<managed-identity-id>;resource=https://database.windows.net/" update

内容的提问来源于stack exchange，提问作者Bhavesh Jadav