MSAL.NET中AzureAD配置项有效属性及Audiences相关技术咨询

1. AzureAD配置架构文档及不同场景的有效属性 #

MSAL.NET核心库并未直接定义appsettings.json中的AzureAD配置架构，这类配置实际由Microsoft.Identity.Web（基于MSAL.NET构建的ASP.NET Core身份认证集成库）负责映射，官方针对该库提供了完整的配置说明，不同场景的有效属性如下：

• Web应用场景：核心属性包括Instance（Entra ID实例地址，如https://login.microsoftonline.com/）、TenantId（租户ID或common/organizations）、ClientId（应用注册ID）、ClientSecret/ClientCertificates（客户端凭据）、CallbackPath（认证回调路径），用于配置应用的身份认证流程。
• Web API场景：除基础的Instance、TenantId、ClientId外，还包含Audiences、AllowedTokenSigningAlgorithms等属性，用于验证客户端传入的JWT令牌合法性。
• 桌面/移动应用场景：常用属性有RedirectUri（认证重定向URI）、ClientId、TenantId，以及CacheLocation（令牌缓存位置）等，适配本地应用的身份认证需求。

2. Audiences属性的定义及数组类型原因 #

Audiences是Web API场景下的专属配置项，用于指定API接受的JWT令牌中的受众（aud声明）：

• 数组类型的原因：一个Web API在Entra ID的应用注册中，可以配置多个应用ID URI（即API的标识），每个URI对应一个合法的受众值。当不同客户端调用API时，可能会请求不同受众的令牌（比如不同业务线的客户端对应不同的API URI）。
• API需要多受众的场景：如果你的API需要服务于多个客户端应用、不同业务模块，或者存在版本化的API URI，通过配置多个受众，API可以验证来自不同受众的令牌，提升服务的灵活性和兼容性，确保只有携带合法受众声明的令牌能被API接受。

内容的提问来源于stack exchange，提问作者spockmonster