Azure App Service 结合Active Directory身份验证问题咨询：.NET Core API部署后携带Token无法访问端点

我来分享几个常见的排查方向，帮你定位这个Azure上的身份验证问题：

• 身份验证配置冲突
  如果你的API启用了自身的JWT验证，同时又开启了Azure App Service的「Easy Auth」功能，很可能会出现冲突。Easy Auth会先拦截请求进行验证，而API自身的JWT中间件可能无法正确处理Easy Auth传递的上下文，或者两者的身份提供商配置不匹配（比如本地用自定义JWT密钥，Azure上用Azure AD）。建议先确认：

  • 是否需要同时启用Easy Auth和API自身的验证？如果是API自己处理Bearer Token，应该把Easy Auth的模式设置为「Allow anonymous requests (no action)」，让API接管验证逻辑。
  • API的AddJwtBearer配置中，Issuer、Audience、TokenValidationParameters是否和Azure环境的身份提供商一致（比如Azure AD的租户ID、应用注册的Client ID）。

• 环境配置缺失或错误
  本地的appsettings.json里的JWT相关配置（比如密钥、签发者）可能没有同步到Azure App Service的应用设置中。比如：

  • 检查Azure门户中App Service的「Configuration > Application settings」，是否正确配置了Jwt:Secret、Jwt:Issuer等环境变量，值是否和本地一致（注意敏感数据不要硬编码，用Azure Key Vault托管更安全）。
  • 确认配置值的格式是否正确，比如密钥是否是有效的Base64字符串，有没有额外的空格或换行。

• SSL/TLS验证问题
  .NET Core的JWT中间件默认要求HTTPS元数据（RequireHttpsMetadata = true），如果Azure上的API请求虽然走HTTPS，但存在证书链验证问题，或者中间件无法获取身份提供商的公开密钥，会导致验证失败抛出内部错误。可以尝试临时将RequireHttpsMetadata设置为false（仅用于排查，生产环境不要这么做），看是否能解决问题，再进一步排查证书相关配置。

• 日志配置未正确捕获错误
  你提到Application Insights没有相关日志，可能是日志级别不够或者配置未生效：

  • 在API的appsettings.json中，将Logging.LogLevel.Microsoft.AspNetCore.Authentication设置为Debug或Information，这样能捕获身份验证过程中的详细错误。
  • 启用Azure App Service的「Log Stream」功能，实时查看服务器端的错误日志，很多500错误的详细堆栈信息会在这里显示，比Application Insights更及时。
  • 检查App Service的「Diagnostic settings」是否正确配置，确保将应用日志发送到Application Insights。

• Token本身的有效性问题
  确认你在Azure环境中使用的Bearer Token是否符合API的验证要求：

  • Token的iss（签发者）、aud（受众）是否和API配置的一致？比如本地生成的Token是针对本地签发者，而Azure上的API期望Azure AD的签发者。
  • Token是否过期，或者包含的权限（scp或roles）是否符合API端点的要求。
  • 检查Postman的请求头是否正确：Authorization: Bearer <你的Token>，不要有多余的空格或拼写错误。

内容的提问来源于stack exchange，提问作者Richard