Blazor WASM应用配置Azure AD跨租户认证失败问题排查

核心问题定位 #

你当前使用的AddMicrosoftIdentityWebApi是为ASP.NET Core后端API设计的认证服务，Blazor WASM客户端需要使用专门的AddMicrosoftIdentityWebAssemblyAuthentication配置前端认证流程，这是导致非当前租户用户登录失败的主要原因。

解决方案步骤 #

1. 修正Program.cs中的认证服务注册 #

替换原有的认证配置代码为以下内容：

builder.Services.AddMicrosoftIdentityWebAssemblyAuthentication(builder.Configuration)
    .AddMsalAuthentication(options =>
    {
        builder.Configuration.Bind("AzureAd", options.ProviderOptions.Authentication);
        // 配置多租户相关选项
        options.ProviderOptions.DefaultAccessTokenScopes.Add("access_as_user");
        options.ProviderOptions.LoginMode = "redirect";
    });

2. 调整appsettings.json配置 #

移除Domain字段（多租户场景下无需指定特定租户域名），确保配置如下：

{
  "AzureAd": {
    "Instance": "https://login.microsoftonline.com",
    "TenantId": "organizations",
    "ClientId": "myclientid012345678",
    "Scopes": "access_as_user",
    "CallbackPath": "/authentication/login-callback"
  }
}

注意：CallbackPath需要和应用注册中配置的重定向URI保持一致。

3. 检查Azure应用注册配置 #

• 平台配置：在应用注册的「身份验证」页面，添加「单页应用(SPA)」平台，设置正确的重定向URI（例如https://localhost:5001/authentication/login-callback，需与appsettings中的CallbackPath对应）。
• API权限：添加必要的权限（如Microsoft Graph的User.Read），并确保已授予管理员同意（多租户场景下，其他租户用户登录需要管理员同意该权限）。
• 账户类型：确认「支持的账户类型」为「任意组织目录中的账户（任何Microsoft Entra ID租户 - 多租户）」。

4. 后端API的多租户适配（若存在） #

如果你的Blazor WASM应用需要调用后端API，API的认证配置需调整Token验证逻辑，支持多租户：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAd"), options =>
    {
        // 关闭Issuer验证（或自定义IssuerValidator验证租户合法性）
        options.TokenValidationParameters.ValidateIssuer = false;
        // 若需要限制允许的租户，可配置ValidIssuers或自定义IssuerValidator
        // options.TokenValidationParameters.IssuerValidator = (issuer, token, parameters) => { ... };
    });

内容的提问来源于stack exchange，提问作者George Helmke