Azure B2C OAuth客户端凭证流中访问令牌声明缺失scp claim的问题咨询

嘿，这个问题我碰到过好多次了，客户端凭证流里scp声明不出现通常是几个常见配置疏漏导致的，我给你梳理下排查和解决的步骤：

1. 先确认API资源的Scope配置 #

• 首先要确保你暴露的access_as_***** Scope允许客户端凭证流访问。很多身份管理平台里，Scope默认只支持授权码这类用户委派的流程，需要手动开启应用级（客户端凭证）的访问权限。去你的API资源设置里找到这个Scope，检查是否有类似“允许应用权限使用”的选项并勾选。
• 同时确认API的唯一标识符（比如api://xxxx-xxxxxx-xxxx）是正确的，后面请求令牌时会用到这个值。

2. 检查应用的API权限类型 #

• 你给应用添加的权限必须是应用权限，而不是“委派权限”。客户端凭证流是应用自己的身份去请求令牌，和用户无关，所以只有应用权限会被解析到scp声明里；委派权限是给用户上下文用的，客户端凭证流根本不会读取这类权限。
• 最重要的一点：应用权限必须由租户管理员授予同意。哪怕你在应用里添加了权限，如果没有管理员点击“授予管理员同意”，令牌里也不会包含对应的scp声明。去应用的API权限页面看看，有没有显示“已授予[你的租户名]同意”的标识。

3. 验证令牌请求的参数是否正确 #

• 确保请求里的scope参数是完整格式：{API标识符}/{Scope名称}，比如api://xxxx-xxxxxx-xxxx/access_as_*****。有些平台支持直接写Scope名称，但用完整格式能避免和其他API的Scope重名冲突。
• 确认grant_type参数严格是client_credentials，别写错拼写。
• 检查aud（受众）参数是否匹配你的API标识符，这个参数告诉身份平台你要访问哪个API，不匹配的话权限肯定不会被包含。

4. 尝试刷新密钥并重新请求 #

有时候密钥的权限同步会有延迟，或者旧密钥存在缓存问题：

• 去应用的“证书和密码”页面，删除现有的客户端密钥，重新生成一个新的。
• 用新的密钥发起令牌请求，然后解码查看scp声明是否出现。

5. 查看身份平台的请求日志 #

如果以上步骤都试过还是不行，去身份平台的日志系统（比如“审核日志”或“令牌请求日志”）里找你刚才的令牌请求记录，日志里通常会详细说明为什么某些权限没有被包含进令牌，比如权限未同意、Scope不支持应用流之类的信息，能帮你快速定位问题。

内容的提问来源于stack exchange，提问作者sharifxu