NodeJS无服务器Azure Function App认证配置异常，请求排查

我正在配置Node.js无服务器Azure Function App的安全防护，已完成以下配置：

配置项设置 #

• HTTP 1.1
• HTTPS Only - 开启
• TLS - 1.2
• Client certificate mode - 强制要求
• 无排除规则

认证设置 #

• App Service authentication - 启用
• Restrict access - 强制认证
• Unauthenticated requests - 返回HTTP 403 Forbidden
• Token store - 启用
• 配置了OpenId Metadata URL、Client ID及Secret

我在代码中设置了不同的HTTP状态码用于定位问题：

export async function httpTrigger(request: HttpRequest, context: InvocationContext): Promise<HttpResponseInit> {
        if (!request.user) {
            return {
                status: 406, // Not Acceptable
            };
        }

    const name = request.query.get('name') || await request.text() || 'world';

    return { body: `Hello, ${name}!` };
};

app.http('httpTrigger', {
    methods: ['POST'],
    authLevel: 'anonymous',
    handler: httpTrigger
});

当前遇到的问题：

• 当authLevel设为'anonymous'时，无论Bearer Token有效与否，均返回HTTP 406响应
• 若改为'function'，所有请求均返回401 Unauthorized

请问我遗漏了什么配置？

问题排查与解决方案 #

1. 客户端证书与App Service认证的冲突 #

你同时启用了强制客户端证书模式和App Service认证，这两个机制存在优先级冲突：

• 强制客户端证书要求请求必须携带有效的客户端证书，否则会直接被Azure层拦截，不会触发App Service认证流程，也就不会填充request.user对象，导致代码中始终返回406。
• 当authLevel设为'function'时，Azure Functions会优先校验Function级别的密钥，而你未配置或未携带Function密钥，因此返回401。

2. 关键配置调整建议 #

• 修正客户端证书模式：如果安全策略依赖OpenID认证而非客户端证书，将Client certificate mode从"强制要求"改为"可选"或"关闭"。若必须保留客户端证书，需确保请求同时携带有效的客户端证书和Bearer Token，Azure会先校验证书，再执行App Service认证。
• 调整authLevel设置：启用App Service认证时，authLevel应设为'anonymous'，因为App Service层已经完成认证拦截，Function代码无需再处理Function级别的密钥认证。
• 验证Token传递方式：确保请求的Authorization头格式为Bearer <token>，且Token符合OpenID配置要求（签名有效、未过期、受众匹配Client ID等）。
• 检查Token Store配置：确认已正确配置与OpenID提供商的信任关系，比如在OpenID提供商侧添加了Azure Function App的允许受众或回调URL。

3. 调试建议 #

• 在代码中添加日志，输出request.headers内容，确认是否携带了正确的Authorization头和客户端证书信息。
• 使用Azure Portal的"App Service认证"测试功能，验证OpenID配置是否能正常获取用户信息。

内容的提问来源于stack exchange，提问作者Ricardo Henrique Comar