Azure应用注册Client Secret过期致API CORS错误，求更新位置

ASP.NET后端更新位置 #

• 配置文件：检查appsettings.json或appsettings.{环境}.json中的AzureAd配置节，替换ClientSecret字段为新密钥：

  "AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "Domain": "your-domain.com",
    "TenantId": "你的租户ID",
    "ClientId": "你的应用ID",
    "ClientSecret": "你的新Client Secret"
  }
  

• 环境变量：若部署在Azure App Service或其他服务器，在平台的环境变量设置中更新AzureAd__ClientSecret（用双下划线分隔配置层级）。
• Azure Key Vault：如果后端从Key Vault读取密钥，直接在Key Vault中更新对应机密的值，并确保应用服务拥有Key Vault的访问权限。

NextJS前端更新位置 #

如果你的NextJS应用使用服务器端认证（如@azure/msal-node），需在以下位置更新：

• 服务器端配置文件：找到存放MSAL配置的文件（如lib/msal-config.js），替换clientSecret字段：

  const msalConfig = {
    auth: {
      clientId: "你的应用ID",
      authority: "https://login.microsoftonline.com/你的租户ID",
      clientSecret: "你的新Client Secret"
    }
  };
  

• 环境变量：在.env.local或.env.production中更新对应环境变量（注意不要用NEXT_PUBLIC_前缀，避免密钥暴露到前端），比如AZURE_AD_CLIENT_SECRET="你的新Client Secret"，然后在服务器端代码中读取该变量。

额外注意事项 #

• 由于Allow public client flow设为No，你的应用属于机密客户端，Client Secret必须仅存储在后端/服务器端环境中，绝对不能暴露在前端浏览器代码里。
• 更新后重启ASP.NET后端和NextJS应用，确保新配置生效。
• 验证CORS设置：若仍有错误，检查Azure应用注册的CORS允许列表，确认前端域名已加入。

内容的提问来源于stack exchange，提问作者Singhal_Anukul