Azure AD认证报错AADSTS700054：Chrome端无法登录Web应用

• 确认Azure AD应用的ID Token配置细节

  • 进入应用注册的「身份验证」页面，检查对应Web平台的「ID令牌(用于OpenID Connect流)」是否勾选，同时确保重定向URI和实际使用的完全一致（注意Chrome对路径末尾斜杠的匹配可能更严格）
  • 检查「API权限」中是否添加了openid、profile、email这类基础OpenID Connect权限，且已完成管理员同意授予

• 清除Chrome浏览器缓存与站点数据

  • 在Chrome中打开chrome://settings/siteData，搜索应用域名和login.microsoftonline.com，删除所有相关数据后重新尝试登录
  • 移动端Chrome同步清除对应站点的缓存和Cookie

• 显式指定OpenID Connect的响应类型
  修改program.cs中的认证配置，明确指定响应类型为id_token：

  builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
      .AddMicrosoftIdentityWebApp(options =>
      {
          builder.Configuration.Bind("AzureAd", options);
          options.ResponseType = "id_token";
      });
  

  若后续需要同时获取access_token，可将值改为"id_token token"

• 调整CORS策略配置

  • 移除Origin末尾的斜杠，确保匹配严格："https://envisioncrm.azurewebsites.net"
  • 若应用需要传递Cookie完成认证，在CORS策略中添加AllowCredentials()：

    builder.Services.AddCors(options =>
    {
        options.AddPolicy("AllowSpecificOrigin",
            policyBuilder =>
            {
                policyBuilder.WithOrigins("https://envisioncrm.azurewebsites.net")
                             .AllowAnyHeader()
                             .AllowAnyMethod()
                             .AllowCredentials();
            });
    });
    

• 检查Azure AD应用的令牌配置
  进入应用注册的「令牌配置」页面，确认已添加必要的可选声明，避免因令牌结构配置错误导致生成失败

内容的提问来源于stack exchange，提问作者WorkingProgrammer