ASP.NET应用生产环境中通过授权码获取AccessToken为空的排查求助

我正在开发一个基于Azure AD B2C的ASP.NET应用，流程为先完成用户身份验证，再通过授权码兑换获取access token，项目参考官方示例实现。简化后的核心代码如下：

public static class ApplicationBuilder
{
    public static async Task<IConfidentialClientApplication> BuildConfidentialClientApplication()
    {
        var certificate = await GetCertificate();
        var app = ConfidentialClientApplicationBuilder
            .Create(clientId)
            .WithCertificate(certificate)
            .WithAuthority(Authority)
            .WithRedirectUri(postLogoutRedirectUri)
            .Build();
        ...
        return app;
    }
...
}

// Startup.Auth.cs
...
Notifications = new OpenIdConnectAuthenticationNotifications()
{
    AuthorizationCodeReceived = async context =>
    {
        var clientApp = await ApplicationBuilder.BuildConfidentialClientApplication();
        // 登录成功后通过MSAL获取并缓存token，scope格式示例：api://{clientId}/AuthorizationScope
        var result = await clientApp.AcquireTokenByAuthorizationCode(scopes, context.Code).WithSendX5C(true).ExecuteAsync();
        Trace.Assert(result.AccessToken != null); // 生产环境此处断言失败
        // 使用AccessToken调用API接口...
    ...

当前问题：预生产环境可正常获取access token，但生产环境中result.AccessToken始终为null。已排查过scope的正确性，生产环境与预生产环境的权限设置唯一差异为：ApiAccess和AuthorizationScope显示“Not granted for Microsoft”，不清楚该状态的含义。

以下是生产环境的API权限设置截图：

额外检查点与调试方案 #

• 确认权限授予状态：截图中的“Not granted for Microsoft”意味着API权限未完成管理员级别的同意操作。需在Azure AD B2C租户中，针对生产环境的应用注册，完成API权限的管理员授予（尤其是委托类型的权限，若涉及租户级访问必须完成此步骤）。
• 校验证书有效性：检查生产环境使用的证书是否未过期、密钥未损坏，且在应用注册的“证书和密码”中正确配置，确保证书指纹、有效期与代码中加载的一致。
• 核对核心配置参数：对比预生产与生产环境的Authority、clientId、redirectUri等参数，确认生产环境的Authority指向正确的B2C租户和用户流/策略，无拼写或环境混淆问题。
• 启用MSAL详细日志：在构建ConfidentialClientApplication时添加日志配置，捕获AcquireTokenByAuthorizationCode执行的完整请求与响应细节，日志会包含错误码、描述等关键信息：

  app.AddDebugLogging(); // 或配置自定义日志提供器输出到文件/日志系统
  

• 检查授权码有效性：确认context.Code未过期、未被重复使用，可通过解码工具查看授权码包含的scope、audience等声明是否符合预期，排除授权码本身无效的情况。
• 解析AuthenticationResult完整信息：不要只判断AccessToken是否为空，需查看result.Error、result.ErrorDescription、result.Claims等字段，这些内容会直接说明失败原因。
• 验证API权限配置：确认生产环境应用注册中添加的API权限对应正确的目标API（注意预生产与生产的API clientId可能不同），且权限类型为委托权限（授权码流仅支持委托权限）。
• 排查X5C参数影响：尝试移除.WithSendX5C(true)配置，部分环境可能对发送证书X5C参数有特殊限制，导致token请求失败。

内容的提问来源于stack exchange，提问作者samsu