.NET Framework 4.8获取OAuth 2.0访问令牌遇AADSTS500011错误求解

错误原因 #

你遇到的AADSTS500011异常是因为Microsoft.IdentityModel.Clients.ActiveDirectory（ADAL）是针对Azure AD v1端点的库，而你传入的api://my-resource/.default是v2端点的scope格式，v1端点要求的是资源标识符（resource）——即API注册的应用ID URI（不带/.default后缀），所以AAD无法识别这个资源主体。

可行方案 #

方案1：修正ADAL调用参数（坚持使用ADAL） #

将请求中的resource参数改为API的应用ID URI（去掉/.default后缀），示例代码如下（以客户端凭证流为例）：

using Microsoft.IdentityModel.Clients.ActiveDirectory;

var tenantId = "MY-TENANT";
var clientId = "你的客户端ID";
var clientSecret = "你的客户端密钥";
// 注意：这里用API的应用ID URI，不带/.default
var resource = "api://my-resource";

var authority = $"https://login.microsoftonline.com/{tenantId}";
var authContext = new AuthenticationContext(authority);
var clientCredential = new ClientCredential(clientId, clientSecret);

// 获取令牌
var authResult = await authContext.AcquireTokenAsync(resource, clientCredential);
string accessToken = authResult.AccessToken;

• 验证：确保API的应用注册在MY-TENANT租户中存在，且应用ID URI配置为api://my-resource（可在Azure门户的应用注册中查看）。

方案2：改用MSAL.NET（推荐，与.NET 6代码统一） #

Microsoft.Identity.Client（MSAL）是微软推荐的新一代身份验证库，支持.NET Framework 4.6.1+（包括4.8），完全符合你“仅使用微软库”的要求，且兼容v2端点的scope格式，和你现有.NET 6代码逻辑一致。示例代码（客户端凭证流）：

using Microsoft.Identity.Client;

var tenantId = "MY-TENANT";
var clientId = "你的客户端ID";
var clientSecret = "你的客户端密钥";
// 直接使用原来的scope格式，无需修改
var scope = "api://my-resource/.default";

var confidentialClient = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithClientSecret(clientSecret)
    .WithAuthority(new Uri($"https://login.microsoftonline.com/{tenantId}"))
    .Build();

// 获取令牌
var authResult = await confidentialClient.AcquireTokenForClient(new[] { scope })
    .ExecuteAsync();
string accessToken = authResult.AccessToken;

• 优势：MSAL是ADAL的替代产品，微软已停止ADAL的新功能开发，使用MSAL可获得长期支持，且代码风格与你现有.NET 6服务统一，降低维护成本。

额外排查点 #

• 确认API的应用注册已在MY-TENANT租户中完成，且已授予你的客户端应用对应的API权限（客户端权限需在Azure门户中手动同意）。
• 如果使用用户委托流（而非客户端凭证流），ADAL需传入用户凭证并指定正确的resource，MSAL则需调整为AcquireTokenInteractive或AcquireTokenByUsernamePassword方法，传入对应的scope。

内容的提问来源于stack exchange，提问作者prog externo