Azure Function配置Azure AD认证后遇500错误及WebJobsAuthLevel问题求助

错误日志明确指出未注册WebJobsAuthLevel认证处理器，原因是Azure Functions默认依赖该方案处理函数级授权（如AuthorizationLevel.Anonymous/Function/Admin），但你的代码将默认认证方案替换为Bearer后，系统找不到WebJobsAuthLevel的处理器，触发500错误。

方法一：同时注册双认证方案 #

在Startup中保留WebJobsAuthLevel处理器，同时设置默认方案为Bearer，兼容Functions原生授权和Azure AD认证：

public class Startup : FunctionsStartup
{
    public override void Configure(IFunctionsHostBuilder builder)
    {
        var azureAdConfig = new ConfigurationBuilder()
            .AddInMemoryCollection(new Dictionary<string, string>
            {
                {"AzureAd:Instance", "https://login.microsoftonline.com/"},
                {"AzureAd:ClientId", "xxx"},
                {"AzureAd:TenantId", "xxx"}
            })
            .Build();

        builder.Services.AddAuthentication(sharedOptions =>
            {
                sharedOptions.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
                sharedOptions.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
            })
            // 添加WebJobs原生认证处理器
            .AddWebJobsAuthentication()
            .AddMicrosoftIdentityWebApi(azureAdConfig)
            .EnableTokenAcquisitionToCallDownstreamApi()
            .AddInMemoryTokenCaches();
    }
}

确保已安装Microsoft.Azure.WebJobs.Extensions.Http相关NuGet包。

方法二：指定Authorize属性使用Bearer方案 #

若不需要保留Functions原生授权，可直接在函数的Authorize属性中指定认证方案，避免系统尝试加载WebJobsAuthLevel：

[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
[FunctionName("getStuff")]
public async Task<IActionResult> Run(
    [HttpTrigger(AuthorizationLevel.Anonymous, "get", "post", Route = null)] HttpRequest req,
    ILogger log)
{
    // 函数业务逻辑
}

额外检查项 #

• 确认Azure AD配置项（ClientId、TenantId）与应用注册信息完全匹配
• 验证前端传递的Token受众（Audience）是否等于函数的ClientId

内容的提问来源于stack exchange，提问作者kolek