近日，多名开发者反映在使用Microsoft身份验证库（MSAL）时遭遇一个棘手问题：调用createNestablePublicClientApplication创建的应用实例，在执行acquireTokenSilent静默获取令牌时，会在任何网络请求发出之前便间歇性地返回PERSISTENT_ERROR（持久性错误）。该问题尤其频繁出现在需要获取自定义API作用域的场景下，引发开发社区广泛关注。

问题描述：静默获取令牌“未战先败”

acquireTokenSilent是MSAL中用于无用户交互刷新令牌的核心方法，通常依赖缓存或刷新令牌机制完成。然而，受影响开发者表示，在调用该方法时，错误日志显示令牌获取流程根本没有发起任何网络请求，就直接返回PERSISTENT_ERROR。该错误码在MSAL文档中定义为“无法恢复的持久错误”，一般意味着需要用户重新登录。

更令人困惑的是，这种现象并非稳定复现，而是间歇性地出现——同一套代码、同一作用域，在上一次调用成功的情况下，下一次可能就莫名失败。一位使用@azure/msal-browser的开发者指出：“在100次调用中，大约有20次会直接报错，且完全找不到规律。”

技术背景：createNestablePublicClientApplication与自定义作用域

createNestablePublicClientApplication是MSAL v2.0+引入的一个工厂函数，用于创建支持“嵌套应用”模式的公共客户端实例——即允许一个应用在另一个应用内部运行并独立管理令牌。该模式在微前端架构和嵌入式SaaS场景中尤为常见。

问题中的自定义API作用域（如api://myapp/access_as_user）并非标准Microsoft Graph作用域，而是用户自行注册并暴露的API权限。此类作用域需要客户端在AAD（Azure Active Directory）或Entra ID中配置明确的权限委托。

初步分析：缓存逻辑与作用域匹配缺陷成疑

尽管微软尚未发布官方声明，但社区排查指出，问题可能出在MSAL内部缓存键（cache key）的构建机制上。acquireTokenSilent在执行时，会首先检查本地缓存中是否存在匹配的令牌。若缓存键的计算方式对自定义作用域处理有误，可能导致逻辑误判——认为缓存中存在有效令牌，但实际上缓存内容不完整或已过期，进而在未尝试网络刷新的情况下直接返回错误。

另有猜测聚焦于createNestablePublicClientApplication中涉及的多租户、嵌套账户管理逻辑：在父应用与子应用共享缓存时，作用域解析可能发生冲突，引发静默获取“短路”。

受影响范围与临时解决方案

该问题影响所有使用MSAL v2.0及更高版本（包括@azure/msal-browser、@azure/msal-react、@azure/msal-angular等）并涉及自定义作用域的开发者。部分用户通过以下方式缓解：

  1. 强制跳过缓存：在acquireTokenSilent调用前先调用acquireTokenRedirect或acquireTokenPopup手动刷新，但不适用于静默场景。
  2. 改用createPublicClientApplication：放弃嵌套应用工厂函数，回归基础公共客户端实例，但会失去嵌套上下文支持。
  3. 增加重试逻辑：捕获PERSISTENT_ERROR后，短暂延迟后尝试调用acquireTokenPopup引导用户重新交互。
  4. 简化作用域字符串：移除自定义作用域中的特殊字符，或尝试将作用域设置为openid profile email等标准作用域组合，但此方法无法解决业务需求。

微软回应：已在调查中

截至发稿，微软官方在GitHub Issue#7034（相关）中确认已收到多起报告，并表示工程团队正在积极排查“缓存命中与作用域解析的边界条件”。社区呼吁微软尽快发布补丁，或至少提供日志开关以便定位根因。

启示与建议

对于依赖MSAL进行身份验证的企业开发者而言，本次暴露的问题再次提醒：静默令牌获取并非绝对可靠。建议生产环境中对acquireTokenSilent结果进行兜底处理——当遇到PERSISTENT_ERROR时，准备优雅地降级到交互式登录，而非直接抛出异常令用户困惑。

同时，在微软修复之前，开发者可考虑将自定义作用域拆分为更细粒度的标准作用域，或通过服务端代理中转令牌刷新逻辑，避开客户端的缓存陷阱。

该Bug的修复时间线尚未公布，我们将持续关注后续进展。如果您的应用正受此困扰，欢迎在下方评论区分享您的临时应对方案。