Blazor WASM独立应用无法获取Azure AD B2C访问令牌问题排查

1. 修正Azure AD B2C应用注册的“允许公共流”设置 #

独立Blazor WASM属于公共客户端应用，无法存储客户端密钥，必须将“允许公共流”设置为Yes。当前设为No会导致无法通过PKCE流程获取访问令牌，这是核心问题之一。

2. 确保BaseAddressAuthorizationMessageHandler关联正确的API作用域 #

默认情况下，BaseAddressAuthorizationMessageHandler会使用DefaultAccessTokenScopes，但显式指定作用域可避免匹配问题。修改HttpClient注册代码：

builder.Services.AddHttpClient("MyApiClient",
        client => client.BaseAddress = new Uri("https://api.test.com"))
    .AddHttpMessageHandler(sp =>
    {
        var handler = sp.GetRequiredService<BaseAddressAuthorizationMessageHandler>()
            .ConfigureHandler(
                authorizedUrls: new[] { "https://api.test.com" },
                scopes: new[] { "https://mytenant.onmicrosoft.com/api/MyApiUser.Write" });
        return handler;
    });

3. 验证appsettings.json中的Azure AD B2C配置完整性 #

确保配置包含所有必要字段，示例格式如下：

"AzureAdB2C": {
  "Instance": "https://yourtenant.b2clogin.com/",
  "Domain": "yourtenant.onmicrosoft.com",
  "TenantId": "your-tenant-id",
  "ClientId": "cb3574c0-305e-4e44-a3b7-ac5f045f94e7",
  "SignUpSignInPolicyId": "B2C_1_signup_signin",
  "CallbackPath": "/authentication/login-callback"
}

注意：必须指定SignUpSignInPolicyId，B2C依赖用户流/自定义策略处理认证流程。

4. 移除不必要的作用域 #

openid和offline_access无需添加到DefaultAccessTokenScopes：

• openid是ID令牌的作用域，MSAL会自动处理
• offline_access用于获取刷新令牌，独立Blazor WASM中MSAL会自动在需要时请求

5. 检查API权限的授予状态 #

在Azure AD B2C的应用注册中，确认添加的API“Read”和“Write”作用域已授予管理员同意（租户级权限），或用户已完成同意（用户级权限）。

6. 调试令牌获取流程 #

在Blazor组件中添加调试代码，查看认证状态和令牌信息：

@inject AuthenticationStateProvider AuthStateProvider

<button @onclick="CheckToken">检查令牌</button>

@code {
    private async Task CheckToken()
    {
        var authState = await AuthStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;
        
        if (user.Identity.IsAuthenticated)
        {
            var accessToken = await (AuthStateProvider as IAccessTokenProvider).RequestAccessToken(
                new AccessTokenRequestOptions
                {
                    Scopes = new[] { "https://mytenant.onmicrosoft.com/api/MyApiUser.Write" }
                });
            
            if (accessToken.TryGetToken(out var token))
            {
                Console.WriteLine($"Access Token: {token.Value}");
            }
            else
            {
                Console.WriteLine($"获取令牌失败: {accessToken.Error}");
            }
        }
    }
}

这段代码可直接查看令牌获取的错误信息，帮助定位具体问题。

内容的提问来源于stack exchange，提问作者Sam