Blazor WebAssembly集成Azure AD遇AADSTS650052错误求助

• 检查API权限与管理员同意
  登录Azure门户的应用注册页面，找到你的「Ercenk SaaS SPA」应用，进入「API权限」栏目：

  • 确认已添加必要的权限（比如User.Read或业务所需API权限）
  • 点击「授予管理员同意」按钮完成权限授予（单租户场景下必须由管理员同意才能自动创建服务主体）

• 手动创建缺失的服务主体
  若Azure AD企业应用中找不到你的应用，说明服务主体未自动生成，可通过Azure CLI执行命令手动创建：

  az ad sp create --id <你的应用注册客户端ID>
  

  替换命令中的<你的应用注册客户端ID>为实际值，完成后刷新企业应用列表确认服务主体已存在。

• 校验Blazor项目的认证配置
  打开项目根目录的appsettings.json，确认以下配置项准确：

  • TenantId：单租户场景需填写组织租户ID（不可用common）
  • ClientId：与Azure应用注册的客户端ID完全匹配
  • Authority：格式为https://login.microsoftonline.com/你的租户ID
  • RedirectUri和PostLogoutRedirectUri：需与Azure应用注册中配置的重定向URI完全一致（包括协议、域名、端口）

• 多租户模式排查（若切换后仍报错）

  • 确认Authority配置为https://login.microsoftonline.com/common
  • 用其他Azure AD租户的账号测试登录，触发应用同意流程，确保你的租户已完成对该多租户应用的授权

内容的提问来源于stack exchange，提问作者ArcDotNet