.NET 6下Azure AD多租户应用使用common权限登录失败求助

核心原因 #

多租户应用使用common authority时，Azure AD颁发的Token中的Issuer是具体租户ID格式（https://login.microsoftonline.com/{tenantId}/v2.0），而默认的Token验证逻辑会尝试匹配固定的Issuer值，导致验证失败。

排查与修复步骤 #

1. 显示PII日志，确认具体Issuer信息 #

先开启PII日志输出，查看报错中隐藏的Issuer和ValidIssuer具体值，明确差异：
在Program.cs中添加以下代码：

IdentityModelEventSource.ShowPII = true;

重启应用后重新触发登录，即可看到完整的Issuer和预期验证值，帮助精准定位问题。

2. 适配多租户场景的颁发者验证逻辑 #

针对common authority的多租户场景，需要修改Token验证参数，适配动态Issuer：

• 方案一：关闭固定Issuer验证（快速解决）
  在身份认证配置中，将ValidateIssuer设为false：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(options =>
    {
        builder.Configuration.Bind("AzureAd", options);
        // 多租户场景下关闭固定颁发者验证
        options.TokenValidationParameters.ValidateIssuer = false;
    });

• 方案二：自定义Issuer验证逻辑（更安全）
  如果需要严格验证Issuer合法性，自定义验证逻辑确保Issuer是Azure AD v2.0格式的租户颁发者：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(options =>
    {
        builder.Configuration.Bind("AzureAd", options);
        options.TokenValidationParameters.IssuerValidator = (issuer, token, parameters) =>
        {
            // 验证Issuer是否符合Azure AD v2.0多租户格式
            if (issuer.StartsWith("https://login.microsoftonline.com/") && issuer.EndsWith("/v2.0"))
            {
                return issuer;
            }
            throw new SecurityTokenInvalidIssuerException("无效的颁发者");
        };
    });

3. 确认Azure应用注册配置 #

• 登录Azure门户，进入应用注册页面，确认支持的账户类型设置为「任何组织目录中的账户」（多租户模式）。
• 检查API权限配置，确保没有将权限限制到特定租户。

4. 验证Authority配置正确性 #

确保配置中的Authority是正确的多租户格式：

https://login.microsoftonline.com/common/v2.0

避免拼写错误（如遗漏v2.0、拼写错误common）。

内容的提问来源于stack exchange，提问作者Aman Tiwari