Blazor组件调用同应用API遇OIDC认证及AccessToken获取问题

1. 修复IDW10503 Token获取错误 #

这个错误是因为Microsoft Identity配置缺少云实例信息，或Azure AD应用注册的元数据配置不正确。

• 确保Program.cs中配置Azure AD时指定正确的Instance参数，示例：

  builder.Services.AddMicrosoftIdentityWebAppAuthentication(builder.Configuration)
      .EnableTokenAcquisitionToCallDownstreamApi(new[] { "api://{你的API应用ID}/Spec.Read" })
      .AddInMemoryTokenCaches();
  

• 检查appsettings.json中的AzureAD配置，必须包含完整的核心参数：

  "AzureAD": {
    "Instance": "https://login.microsoftonline.com/",
    "Domain": "你的域名",
    "TenantId": "你的租户ID",
    "ClientId": "你的客户端ID",
    "CallbackPath": "/signin-oidc"
  }
  

• 确认GetAccessTokenForUserAsync中的范围格式正确，应为api://{API客户端ID}/{权限名称}，不能直接写Spec.Read。

2. 解决API返回登录页的问题 #

组件调用API返回登录页，是因为请求未携带有效Bearer Token，触发了API的登录重定向。

• 获取Token后，在HttpClient中添加Authorization请求头：

  var token = await tokenAcquisition.GetAccessTokenForUserAsync(new[] { "api://{API客户端ID}/Spec.Read" });
  client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", token);
  var response = await client.GetAsync("/api/你的接口路径");
  

• 确保API的授权配置正确，指定JWT认证方案：

  [Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
  [ApiController]
  [Route("api/[controller]")]
  public class YourController : ControllerBase
  {
      // 接口逻辑
  }
  

• 检查API的Program.cs是否正确配置JWT认证：

  builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
      .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAD"));
  

3. 调用方式选择：JS互调 vs Bearer Token #

• 优先选择Bearer Token方式，更适合后续拆分API的场景：
  • 拆分API后，后端HttpClient可统一处理认证逻辑，前端无需关注跨域、Token刷新等细节；
  • 后端可利用Token缓存机制，减少Azure AD请求次数；
  • API独立部署时，仅需调整后端的API地址配置，前端代码无需大幅修改。
• JS互调方式的局限性：
  • 拆分API后需配置CORS，增加安全配置复杂度；
  • Token暴露在前端，存在安全风险；
  • 前端需自行处理Token过期、刷新逻辑，代码复杂度更高。

内容的提问来源于stack exchange，提问作者xtreampb