Azure APIM入站JWT验证策略GET正常POST报错如何解决

核心原因及修复方案 #

1. 错误处理逻辑缺失 #

当前on-error块仅调用<base />，未针对JWT验证失败场景做自定义处理，APIM默认返回500而非预期的401。需在on-error中添加错误捕获逻辑，明确返回正确状态码和信息。

2. Audience配置重复冲突 #

策略中同时通过<audiences>和<required-claims>验证aud声明，易引发逻辑冲突导致异常。建议保留<audiences>配置即可，无需重复验证。

3. Issuer与OpenID配置版本不匹配 #

使用v2.0的OpenID配置端点时，对应Issuer格式应为https://login.microsoftonline.com/{tenant-id}/v2.0，而非v1版本的https://sts.windows.net/{tenant-id}/，格式不匹配会导致验证失败，若错误未被处理则返回500。

修改后的完整策略 #

<policies>
    <inbound>
        <base />
        <validate-jwt header-name="Authorization" failed-validation-httpcode="401" failed-validation-error-message="Unauthorized. Access token is missing or invalid.">
            <openid-config url="https://login.microsoftonline.com/0000000000000000000/v2.0/.well-known/openid-configuration" />
            <audiences>
                <audience>00000000000</audience>
            </audiences>
            <issuers>
                <issuer>https://login.microsoftonline.com/0000000000000000/v2.0/</issuer>
            </issuers>
        </validate-jwt>
        <set-backend-service base-url="{{BaseURL}}" />
    </inbound>
    <backend>
        <base />
    </backend>
    <outbound>
        <base />
    </outbound>
    <on-error>
        <choose>
            <when condition="@(context.LastError.Reason == "JwtValidationFailed")">
                <return-response>
                    <set-status code="401" reason="Unauthorized" />
                    <set-header name="Content-Type" exists-action="override">
                        <value>application/json</value>
                    </set-header>
                    <set-body>@{
                        return new JObject(
                            new JProperty("error", "Unauthorized"),
                            new JProperty("message", context.LastError.Message)
                        ).ToString();
                    }</set-body>
                </return-response>
            </when>
            <otherwise>
                <return-response>
                    <set-status code="500" reason="Internal Server Error" />
                    <set-header name="Content-Type" exists-action="override">
                        <value>application/json</value>
                    </set-header>
                    <set-body>@{
                        return new JObject(
                            new JProperty("error", "Internal Server Error"),
                            new JProperty("message", context.LastError.Message)
                        ).ToString();
                    }</set-body>
                </return-response>
            </otherwise>
        </choose>
        <base />
    </on-error>
</policies>

额外排查要点 #

• 确认POST请求的Authorization头格式为Bearer {token}，与GET请求一致。
• 在APIM门户“测试”功能中发送POST请求，通过“监视”->“日志”查看详细错误信息，定位具体失败原因。
• 验证JWT Token的iss声明与策略中配置的Issuer完全一致（包括尾部斜杠）。

内容的提问来源于stack exchange，提问作者nitin m