Azure AD JWT认证在TestContainer Docker部署的ASP.NET Web API中失效

针对你遇到的WWW-Authenticate: Bearer error="invalid_token", error_description="The audience 'api://XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX' is invalid"异常，核心原因是JWT令牌的受众（aud）与Web API配置的验证受众不匹配，或者Docker/TestContainer环境中API未正确加载Azure AD的认证配置。以下是具体解决步骤：

1. 确认Azure AD API注册的受众配置 #

• 登录Azure门户，找到你的API应用注册，进入**“公开API”**页面：
  • 确保已添加报错中显示的受众api://XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX，且该受众的状态为可用。
  • 检查**“应用程序ID URI”**是否与该受众一致，这是令牌受众的来源依据。

2. 修正API的认证配置文件/环境变量 #

• 在appsettings.json（或Docker环境变量）中，确保AzureAD配置块的Audience字段严格匹配报错中的受众值：

  "AzureAD": {
    "Instance": "https://login.microsoftonline.com/",
    "Domain": "your-domain.onmicrosoft.com",
    "TenantId": "你的租户ID",
    "ClientId": "你的API客户端ID",
    "Audience": "api://XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX"
  }
  

• 如果使用Docker环境变量传递配置，需用双下划线分隔层级：

  # Dockerfile中设置
  ENV AzureAD__Audience=api://XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX
  

3. 确保TestContainer加载正确配置 #

• 在TestContainer启动代码中，通过环境变量注入正确的Azure AD配置，避免容器内配置缺失：

  var apiContainer = new ContainerBuilder()
      .WithImage("你的Web API镜像名")
      .WithEnvironment("AzureAD__Audience", "api://XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX")
      .WithEnvironment("AzureAD__TenantId", "你的租户ID")
      .WithEnvironment("AzureAD__ClientId", "你的API客户端ID")
      .Build();
  

• 若需挂载配置文件，确保appsettings.json已正确包含上述配置，并通过WithVolumeMount挂载到容器内对应路径。

4. 验证测试用JWT令牌的受众 #

• 生成测试令牌时，确保aud字段严格匹配API的受众值：
  • 若使用Azure AD获取测试令牌，请求时需指定包含该受众的scope（例如api://XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX/access_as_user），否则返回的令牌受众会默认使用API的ClientId，导致不匹配。
  • 可通过令牌解析工具确认aud字段是否正确。

5. 检查API认证中间件配置 #

• 在Program.cs（或Startup.cs）中，确保认证中间件正确读取受众配置：

  // 方式1：直接绑定配置节
  builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
      .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAD"));
  
  // 方式2：手动指定受众（适用于需要强制覆盖的场景）
  builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
      .AddMicrosoftIdentityWebApi(options =>
      {
          options.TokenValidationParameters.ValidAudience = "api://XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX";
      }, options =>
      {
          builder.Configuration.Bind("AzureAD", options);
      });
  

内容的提问来源于stack exchange，提问作者Tenacious