使用Microsoft.IdentityModel.Clients.ActiveDirectory调用AcquireTokenAsync时遭遇Assertion failed signature validation错误的技术咨询

根据你提供的错误信息和代码，这个Assertion failed signature validation错误核心是传入的用户断言（也就是你用的accessToken）的签名无法被Azure AD验证通过，结合我处理这类问题的经验，你可以按照以下步骤排查解决：

核心排查方向 #

1. 确认UserAssertion中的accessToken合法性 #

• 首先要确保这个accessToken是针对目标API的正确受众（Audience）颁发的：你调用AcquireTokenAsync时传入的Url应该是目标API在Azure AD中注册的Application ID URI（比如https://yourtenant.onmicrosoft.com/your-api），而不是具体的API端点路径，同时要验证accessToken的aud声明和这个Url完全匹配。
• 用JWT解码工具（建议本地解码，避免泄露敏感信息）查看token的iss（颁发者）声明，必须和你的authContext使用的终结点一致，也就是https://login.microsoftonline.com/{你的租户}/开头，跨租户颁发的token必然会签名验证失败。
• 检查token的过期时间exp，确保调用时token还在有效期内。

2. 验证ClientCredential配置正确性 #

• 核对clientID和clientSecret是否和Azure AD中注册的客户端应用完全一致：注意clientSecret有没有过期、是否在应用配置中被重新生成过，或者配置文件里有没有多余的空格/拼写错误。
• 错误信息里显示客户端使用的密钥指纹为空，这大概率是clientSecret配置有问题，建议重新生成一个客户端密钥，更新到配置文件后再测试。

3. 检查UserAssertion的构造细节 #

• 默认情况下，UserAssertion使用的断言类型是urn:ietf:params:oauth:grant-type:jwt-bearer，如果你传入的accessToken是SAML断言而非JWT，需要明确指定第二个参数，但从你的代码场景看应该用默认类型即可。
• 确保accessToken没有被篡改，比如在传递过程中有没有被截断或者编码错误。

4. 应用权限配置检查 #

• 登录Azure门户，找到你的客户端应用（clientID对应的应用），确认它已经被授予代表用户访问目标API的委托权限，并且如果是需要管理员同意的权限，已经完成了管理员同意操作。

优化后的代码示例 #

可以在代码中添加简单的token合法性校验，提前发现问题：

var clientID = ConfigurationManager.AppSettings["ClientID"];
var clientSecret = ConfigurationManager.AppSettings["ClientSecret"];
var tenant = ConfigurationManager.AppSettings["Tenant"];
// 建议把目标API的URI单独配置，避免硬编码或错误
var targetApiUri = ConfigurationManager.AppSettings["TargetApiUri"];

var appCred = new ClientCredential(clientID, clientSecret);
var authContext = new AuthenticationContext($"https://login.microsoftonline.com/{tenant}");

// 提前校验accessToken的核心信息
var jwtHandler = new JwtSecurityTokenHandler();
if (jwtHandler.CanReadToken(accessToken))
{
    var jwtToken = jwtHandler.ReadJwtToken(accessToken);
    // 检查受众是否匹配
    if (!jwtToken.Audiences.Contains(targetApiUri))
    {
        throw new InvalidOperationException("Access token的受众与目标API不匹配，请检查token来源");
    }
    // 检查颁发者是否属于当前租户
    if (!jwtToken.Issuer.Contains(tenant))
    {
        throw new InvalidOperationException("Access token不是当前租户颁发的，无法用于断言");
    }
}

var authResult = await authContext.AcquireTokenAsync(targetApiUri, appCred, new UserAssertion(accessToken));

额外排查手段 #

如果以上步骤都没解决问题，可以到Azure门户的Azure Active Directory -> 日志 -> 登录日志中，通过你提供的Trace ID（603df266-b9b4-4b27-8216-effc8b879a01）查找更详细的错误细节，Azure AD的日志通常会给出具体的签名不匹配原因，比如密钥不匹配、token算法不支持等。

内容的提问来源于stack exchange，提问作者Priya