Azure APIM与Duende Identity Server的OAuth集成问题及自动令牌续期咨询

看起来你在把Azure API Management（APIM）和Duende Identity Server做OAuth集成时遇到了401 Unauthorized的问题，同时还关心令牌自动续期的实现方式。我来帮你一步步排查问题并解答续期的疑问。

一、排查401 Unauthorized问题 #

从你的描述和配置来看，主要有几个常见的配置错误点，咱们逐一梳理：

1. Validate-JWT策略的配置错误 #

你当前的<validate-jwt>策略存在两处关键问题：

• Issuer配置错误：你填写的https://contoso.com/connect/token是令牌端点URL，但Duende颁发的JWT里的iss字段其实是身份服务器的基地址（比如https://contoso.com），不是具体的token路径。你可以用jwt.io解码Postman拿到的令牌，确认iss字段的真实值，然后修改<issuer>节点。
• Audience配置错误：你用@(context.Request.OriginalUrl.Host)作为受众，但Duende在Client Credentials模式下颁发的令牌，aud字段通常是你在Duende中配置的API资源名称或者客户端ID。同样，解码令牌查看aud字段，替换成对应的值。
• 签名密钥建议动态拉取：硬编码密钥存在后续密钥更新失效的风险，建议改用Duende的OIDC配置端点动态拉取公钥，修改后的策略如下：

<inbound>
  <base />
  <validate-jwt header-name="Authorization" require-scheme="Bearer">
    <openid-config url="https://contoso.com/.well-known/openid-configuration" />
    <audiences>
      <audience>你的API资源名称或客户端ID</audience>
    </audiences>
    <issuers>
      <issuer>https://contoso.com</issuer>
    </issuers>
  </validate-jwt>
</inbound>

2. APIM OAuth配置的逻辑误解 #

你提到希望用户仅传递clientId/clientSecret就能调用API，但当前的配置逻辑可能搞反了：

• APIM设置页面的OAuth配置，主要是用于开发者门户的用户授权流程，不是让APIM自动用用户提供的clientId/clientSecret去Duende拿令牌。

• 如果要实现“用户传clientId/clientSecret → APIM自动获取令牌 → 转发给后端”的流程，你需要在APIM策略中添加get-token步骤，同时先提取用户传入的凭证：

  1. 首先从请求中提取clientId和clientSecret（比如从Basic Auth头）：

  <set-variable name="clientId" value="@(context.Request.Headers.GetValueOrDefault("Authorization").Split(' ')[1].DecodeBase64().Split(':')[0])" />
  <set-variable name="clientSecret" value="@(context.Request.Headers.GetValueOrDefault("Authorization").Split(' ')[1].DecodeBase64().Split(':')[1])" />
  

  2. 然后用这些变量向Duende请求令牌：你可以先在APIM的「Security」→「OAuth 2.0」中创建一个提供者，配置Client Credentials模式；或者直接发送HTTP请求到Duende的token端点，将获取到的令牌附加到后端请求的Authorization头中。

  另外，如果你是希望APIM自身作为客户端，用固定的clientId/clientSecret去Duende拿令牌，用户调用APIM时只需要传递APIM的订阅密钥，那get-token策略会更简单，APIM会自动处理令牌的获取和转发。

二、APIM的令牌自动续期机制 #

关于令牌过期后的自动续期，APIM的get-token策略自带了缓存和自动刷新功能：

• APIM会缓存获取到的令牌，当令牌即将过期时（默认是过期前5分钟），会自动向Duende的token端点请求新的令牌，完全不需要人工干预。
• 这和Postman的逻辑不同：Postman是客户端工具，需要用户手动触发刷新；而APIM作为服务端，会在后台自动处理令牌的续期，对调用用户完全透明。

备注：内容来源于stack exchange，提问作者mobyhealy