C#中client_credentials模式OAuth2令牌提示Invalid Audience问题

问题1：为何通过client_credentials授权类型返回的令牌会提示"invalid Audience"？ #

OAuth2中的受众（Audience，对应令牌内的aud声明） 用于标识令牌的目标接收方（即你要调用的API）。出现该错误的核心原因如下：

• 你通过client_credentials获取的令牌，其aud值与目标API要求的受众不匹配。
• 对比Authorization Code模式：该模式基于用户授权，令牌默认会指向目标API；而client_credentials是客户端直接发起的授权，若请求令牌时未明确指定目标API的受众或权限范围，授权服务器可能返回受众为自身（授权服务器）或客户端ID的令牌，这类令牌无法被目标API识别。
• 客户端配置问题：供应商平台中你的client_id对应的client_credentials权限未包含目标API的受众，导致颁发的令牌不具备访问目标API的权限。

问题2：如何修复该问题？ #

可以按照以下步骤解决：

1. 确认目标API要求的受众或权限范围 #

查阅供应商的API文档，获取目标API对应的受众标识符（通常是一个URL，如https://vendor.domain.com/api/v1）或权限范围字符串（如api.read）。

2. 在令牌请求中添加受众/范围参数 #

修改令牌请求代码，在提交的表单数据中添加对应的参数：

• 若需指定受众，添加"audience"字段
• 若需指定权限范围，添加"scope"字段

修改后的代码示例：

var form = new Dictionary<string, string>
{
  {"grant_type", grant_type},
  {"client_id", client_id},
  {"client_secret", client_secret},
  // 替换为实际的目标API受众标识符
  {"audience", "https://vendor.domain.com/target-api"},
  // 若供应商要求，同时添加权限范围
  {"scope", "api.read api.write"}
};

3. 验证令牌的受众声明 #

获取新令牌后，使用JWT解码工具查看令牌内的aud字段，确认其值与目标API要求的受众一致。

4. 联系供应商调整客户端配置 #

若添加参数后仍报错，说明供应商平台中你的client_id未被授权通过client_credentials模式访问目标API，需联系供应商调整客户端的权限配置。

内容的提问来源于stack exchange，提问作者user11500484