Blazor调用受Azure API Management validate-jwt策略保护的API失败问题排查及正确配置方案

你的问题核心是APIM的JWT验证拦截了CORS预请求，再加上Blazor HttpClient配置的小疏漏，导致浏览器返回模糊的TypeError: Failed to fetch（真实错误是401，但被CORS机制隐藏了）。下面分两部分解答你的疑问：

1. Azure API Management的正确配置方式 #

核心调整：修复策略顺序与OPTIONS请求处理 #

你当前的策略把validate-jwt放在cors之前，这会直接拦截浏览器发送的CORS预请求（OPTIONS方法）——因为OPTIONS请求不会携带Authorization头，会被JWT验证直接打回401，浏览器就会抛出跨域错误。正确的做法是：

• 先处理CORS逻辑，确保预请求能正常通过
• 仅对非OPTIONS请求执行JWT验证

修改后的完整策略代码：

<policies>
  <inbound>
    <!-- 优先处理CORS，显式允许OPTIONS方法 -->
    <cors>
      <allowed-origins>
        <origin>*</origin>
      </allowed-origins>
      <allowed-methods preflight-result-max-age="300">
        <method>GET</method>
        <method>POST</method>
        <method>OPTIONS</method>
      </allowed-methods>
      <allowed-headers>
        <header>*</header>
      </allowed-headers>
      <expose-headers>
        <header>*</header>
      </expose-headers>
    </cors>
    <!-- 仅对业务请求验证JWT -->
    <choose>
      <when condition="@(context.Request.Method != "OPTIONS")">
        <validate-jwt header-name="Authorization" failed-validation-httpcode="401" require-scheme="Bearer" output-token-variable-name="jwt">
          <openid-config url="https://idsrv4/.well-known/openid-configuration" />
          <!-- 建议添加严格验证规则，避免无效令牌 -->
          <issuer>https://idsrv4</issuer>
          <audience>220005_api</audience>
        </validate-jwt>
      </when>
    </choose>
    <base />
  </inbound>
  <backend>
    <base />
  </backend>
  <outbound>
    <base />
  </outbound>
  <on-error>
    <base />
  </on-error>
</policies>

额外配置检查 #

• OpenID配置可达性：确保APIM能访问你的Identity Server的/.well-known/openid-configuration地址。如果Identity Server是内网部署，需要给APIM配置VNET集成或私有端点。
• Security板块配置：APIM Security里的OpenID Connect配置主要用于开发者门户的API测试，和策略的JWT验证是独立的，但要确保元数据地址和策略里的一致。
• 启用APIM日志：在APIM的“监控”板块启用日志，能查看JWT验证失败的具体原因（比如令牌签名无效、audience不匹配等）。

2. Blazor WebAssembly项目传递JWT令牌的正确代码 #

核心修复：HttpClient的授权URL匹配 #

你的AuthorizationMessageHandler里硬编码了authorizedUrls: new[] { "https://localhost:7241" }，但实际API地址是apiEndpoint（APIM地址）。Handler只会对匹配的URL自动添加Authorization头，这会导致请求APIM时没有携带令牌，被APIM拦截返回401。

修改后的HttpClient配置代码：

#region Configure HTTP Client
builder.Services.AddHttpClient("companiesAPI", cl => {
    cl.BaseAddress = new Uri(apiEndpoint);
})
.AddHttpMessageHandler(sp => {
    var handler = sp.GetService<AuthorizationMessageHandler>()
        .ConfigureHandler(
            // 使用配置文件中的实际API端点地址，而非硬编码
            authorizedUrls: new[] { apiEndpoint },
            // 使用配置的apiScope，避免硬编码
            scopes: new[] { apiScope }
        );
    return handler;
});

builder.Services.AddScoped(sp => sp.GetService<IHttpClientFactory>().CreateClient("companiesAPI"));
#endregion

其他配置确认 #

• OIDC配置完整性：确保appsettings.json里的oidc配置包含正确的Authority（你的Identity Server地址）、ClientId、RedirectUri、PostLogoutRedirectUri，以及Scope（要包含openid、profile和你的API scope220005_api）。
• 令牌自动携带：你的APIService代码是正确的——通过依赖注入获取的HttpClient已经被AuthorizationMessageHandler处理，会自动在请求头添加Bearer {token}，不需要手动设置。
• 调试技巧：用浏览器开发者工具的“网络”面板，查看请求的Authorization头是否存在，以及APIM返回的真实状态码（如果是401，结合APIM日志排查令牌问题）。

内容的提问来源于stack exchange，提问作者Enrico