Flutter迁移至MSAL后MFA未触发及530021权限报错求助

问题1：登录后MFA未触发但能正常获取accessToken #

配置修改方案 #

1. 调整msal_config.json配置

修改以下关键参数：

"authorities": [
    {
      "type": "AAD",
       "authority_url": "https://login.microsoftonline.com/你的租户ID", // 替换为实际租户ID，common多租户模式与AzureADMyOrg受众类型不匹配
      "audience": {
        "type": "AzureADMyOrg"        
      }
    }
  ],
  "authorization_user_agent": "BROKER", // 启用MS Authenticator Broker后对应设置为BROKER
  "broker_redirect_uri_registered": true, // 使用Broker必须设为true

2. Azure门户配置调整

• 在应用注册中找到你的MSAL应用，添加重定向URI：msauth://com.app.oneapp/aA1h5gout1221235f0EpTyidiL2Y=，类型选择「移动和桌面应用」
• 进入身份验证页面，开启「允许公共客户端流」（设置为「是」）
• 检查条件访问策略：确认MFA策略的应用范围包含当前MSAL应用注册，避免因应用未纳入策略导致MFA不触发

问题2：添加graph.microsoft.com/Mail.Read权限后触发MFA但报错530021（应用未获IT部门批准） #

排查步骤 #

• 检查Azure AD条件访问策略：查找包含「需要应用批准」规则的策略，确认该策略是否将当前MSAL应用纳入适用范围
• 检查应用权限状态：Mail.Read属于委托权限，确认是否已由管理员完成管理员同意；若未同意，需管理员在应用注册的「API权限」页面点击「授予管理员同意」
• 检查企业应用设置：进入企业应用找到该应用，查看是否开启了「需要管理员批准才能访问应用」的限制
• 验证设备相关策略：用户设备为已注册状态，检查条件访问策略中是否针对已注册设备设置了额外应用访问限制，或需将该应用加入IT批准的应用列表

内容的提问来源于stack exchange，提问作者Kumar