Azure应用网关URL长度限制问题及配置问询

应用网关侧的配置调整 #

• 调整应用网关最大请求大小：
  若使用应用网关v2版本，可在网关的「设置」->「配置」页面修改Max request size参数。该参数控制整个HTTP请求的总大小（包含URL、请求头和正文），默认值为100MB，可根据实际令牌大小适当调高（v2版本最大支持400MB）。v1版本URL长度固定限制为8KB无法调整，建议升级到v2版本。
• 调整WAF策略的URL长度限制：
  若启用了WAF，需检查相关规则：
  1. 查看OWASP核心规则集里的REQUEST-911-METHOD-ENFORCEMENT等规则，确认是否存在对GET请求URL长度的限制，可将规则动作从「阻止」改为「检测」，或评估风险后禁用该规则。
  2. 在WAF策略的「自定义规则」中添加规则，放宽URL长度的限制阈值，例如设置RequestUri允许更大的长度值。

根源性优化方案 #

调整网关配置仅为临时解决手段，从安全和架构合理性角度，建议优化令牌传递与生成逻辑：

• 改用POST方式传递令牌：
  修改Azure AD应用注册的认证配置，将响应模式设置为form_post。此时Azure AD会通过POST请求将令牌放入请求体返回，而非URL查询字符串，彻底规避URL长度限制，同时降低令牌泄露风险（URL参数易被日志记录）。
• 精简令牌声明：
  登录Azure AD门户，进入应用注册的「令牌配置」页面，移除不必要的默认声明或自定义声明。针对B2B用户，可通过组筛选减少令牌中包含的组数量，直接压缩令牌体积。
• 启用增量授权：
  配置Azure AD增量授权，让应用仅在需要时请求特定范围的权限，避免单次返回包含全量权限的大体积令牌。

内容的提问来源于stack exchange，提问作者Abraham Mathew Ajoy