Angular+C# WebAPI中MSAL访问令牌认证问题：令牌验证与账户创建

核心误区纠正 #

你当前的代码方向完全错误：C# WebAPI不需要用PublicClientApplication创建Account或调用AcquireTokenSilent。你的场景是Angular前端已完成登录并拿到访问令牌，WebAPI的核心职责是验证前端传来的令牌有效性，而非自行获取令牌。

GetAccountsAsync返回空的原因很明确：PublicClientApplication是为桌面/移动这类客户端应用设计的，它依赖本地会话存储保存用户账户，但WebAPI作为服务端没有这类存储，自然拿不到账户信息。

正确的WebAPI令牌验证方案 #

1. 使用Microsoft Identity Web包（官方推荐）

直接集成身份验证中间件，快速实现令牌验证：

• 安装NuGet包：Microsoft.Identity.Web
• 在Program.cs中配置身份验证：

var builder = WebApplication.CreateBuilder(args);

// 添加Azure AD令牌验证服务
builder.Services.AddMicrosoftIdentityWebApiAuthentication(builder.Configuration);

builder.Services.AddControllers();

var app = builder.Build();

app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

app.Run();

• 在appsettings.json中配置Azure AD信息：

{
  "AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "TenantId": "你的租户ID",
    "ClientId": "你的WebAPI客户端ID"
  }
}

• 在需要保护的控制器/方法上添加[Authorize]特性，前端请求时在Header中携带Authorization: Bearer {前端获取的访问令牌}，中间件会自动验证令牌有效性并解析用户信息：

[Authorize]
[ApiController]
[Route("api/[controller]")]
public class ProtectedController : ControllerBase
{
    [HttpGet("userinfo")]
    public IActionResult GetUserInfo()
    {
        // 从Claims中提取用户邮箱
        var userEmail = User.FindFirst(ClaimTypes.Email)?.Value;
        return Ok(new { Email = userEmail });
    }
}

2. 手动验证令牌（不依赖中间件）

如果需要自定义验证逻辑，可使用JwtSecurityTokenHandler手动校验：

using Microsoft.IdentityModel.Tokens;
using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;

public bool ValidateToken(string token, string tenantId, string audience)
{
    var tokenHandler = new JwtSecurityTokenHandler();
    var validationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidIssuer = $"https://login.microsoftonline.com/{tenantId}/v2.0",
        ValidateAudience = true,
        ValidAudience = audience, // 填写WebAPI的ClientID
        ValidateLifetime = true,
        IssuerSigningKeyResolver = (token, securityToken, identifier, parameters) =>
        {
            // 从Azure AD获取官方签名密钥
            var configManager = new ConfigurationManager<OpenIdConnectConfiguration>(
                $"https://login.microsoftonline.com/{tenantId}/v2.0/.well-known/openid-configuration",
                new OpenIdConnectConfigurationRetriever());
            var config = configManager.GetConfigurationAsync().Result;
            return config.SigningKeys;
        }
    };

    try
    {
        ClaimsPrincipal principal = tokenHandler.ValidateToken(token, validationParameters, out SecurityToken validatedToken);
        // 验证通过，可从principal中获取用户信息
        var userEmail = principal.FindFirst(ClaimTypes.Email)?.Value;
        return true;
    }
    catch
    {
        // 验证失败，返回false
        return false;
    }
}

补充注意事项 #

• Angular前端请求WebAPI时，需确保申请的scope包含api://{WebAPI-ClientID}/.default，否则获取的令牌无法通过WebAPI验证。
• 永远不要在WebAPI中使用PublicClientApplication，它的适用场景是客户端应用（如WPF、MAUI）主动登录获取令牌，而非服务端验证令牌。

内容的提问来源于stack exchange，提问作者rahul