Azure Active Directory OAuth 2.0客户端凭证流对接API Management时无法获取访问令牌问题排查求助

我之前帮不少开发者排查过类似的坑，这种返回HTML而不是预期令牌的情况，基本都是请求端点、参数配置或者Postman设置出了问题，咱们一步步来定位解决：

1. 先确认令牌请求的端点是否完全正确 #

客户端凭证流的合法令牌端点只有两种（别和APIM的API端点搞混！）：

• v2.0版本：https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/token
• v1版本：https://login.microsoftonline.com/{你的租户ID}/oauth2/token

很多人会不小心把APIM的ECHO API地址当成令牌端点，或者写错租户ID，导致请求跳转到Azure的登录页面（返回HTML）。先核对Postman里的请求URL，确保没有多余的路径后缀。

2. 检查请求方法和核心参数 #

令牌请求必须满足以下要求，缺一不可：

• 请求方法必须是POST，不能用GET
• 参数要放在x-www-form-urlencoded（推荐）或form-data里，不能拼在URL上
• 核心参数必须正确：
  • grant_type：必须是client_credentials（这是客户端凭证流的标识，写错直接报错）
  • client_id：你的Azure AD应用注册的Client ID
  • client_secret：对应的客户端密钥（注意别复制到多余的空格）
  • scope（v2端点）：格式为{APIM的资源ID}/.default，比如api://xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxx/.default；如果用v1端点，换成resource参数，值为APIM的资源ID

3. 排查Postman的配置细节 #

如果你是手动构造POST请求，一定要检查Headers里的Content-Type是否为application/x-www-form-urlencoded——Azure AD的令牌端点只接受这个格式的请求，否则会返回HTML错误页面。

更稳妥的方式是用Postman自带的OAuth 2.0配置：

• 切换到「Authorization」标签，选择OAuth 2.0
• Grant Type选Client Credentials
• 依次填入正确的Token URL、Client ID、Client Secret、Scope
• 点击「Get New Access Token」，让Postman自动帮你构造请求

4. 解析返回HTML里的错误提示 #

虽然返回的是HTML，但你可以查看页面源码，里面通常会藏着具体的错误码，比如：

• invalid_request：请求参数缺失或格式错误
• invalid_scope：Scope格式不对或没有权限
• unauthorized_client：Azure AD应用没有被授予访问APIM API的权限

这些错误码能直接帮你定位核心问题，比瞎猜高效多了。

5. 核对APIM的JWT策略配置（拿到令牌后验证用） #

等你成功拿到令牌后，还要确保APIM的JWT验证策略没问题：

• openid-config-url要对应你的Azure AD版本（v2的话是https://login.microsoftonline.com/{租户ID}/v2.0/.well-known/openid-configuration）
• audience要设置为APIM的资源ID，必须和令牌里的aud字段完全匹配
• 策略要放在<inbound>标签里，且在转发请求的策略之前

内容的提问来源于stack exchange，提问作者kamiko