Azure Front Door能否验证Azure AD JWT后再转发请求至后端服务？

核心需求可行性 #

Azure Front Door（标准/高级层）完全支持通过自定义规则实现JWT验证，以此控制是否将请求转发到后端服务，逻辑和APIM的validate-jwt策略一致。

具体实现方式 #

1. 直接用Front Door规则引擎配置 #

在Front Door的规则引擎里添加自定义规则，按以下逻辑配置：

• 条件设置：检查请求的Authorization Header是否存在，且格式为Bearer <JWT>
• 验证动作：配置JWT的核心验证参数：
  • 签发者（Issuer）的URL
  • 受众（Audience）标识
  • 签名算法（比如RS256）
  • 可选：开启过期时间校验、指定签名密钥等
• 分支动作：
  • 验证通过：允许请求正常转发至后端服务
  • 验证失败：直接返回401或403状态码，拒绝转发

2. 替代/优化方案 #

如果你的场景需要更复杂的JWT处理（比如自定义Claims校验、令牌缓存、和其他身份系统深度集成），可以考虑这些组合方案：

• Front Door + Azure AD/B2C：直接利用Front Door和Azure身份服务的原生集成，不用手动写规则细节，简化JWT验证配置
• Front Door + Azure Functions：把JWT验证逻辑封装成Azure Functions，在Front Door规则里加一个前置动作——先转发到函数验证，通过后再转到后端。这种方式适合高度自定义的场景
• APIM + Front Door：如果已经熟用APIM的validate-jwt策略，可以让Front Door做全球流量入口，先把请求转发到APIM完成JWT验证，再到后端。这种方案兼顾Front Door的全球分发能力和APIM成熟的API管理功能

注意事项 #

• 只有Front Door标准/高级层支持规则引擎的JWT验证功能，经典层没有这个能力
• 配置时要确保JWT的签发者、受众等参数和身份提供者的配置完全匹配，不然会出现验证失败的情况
• 可以搭配Front Door的WAF功能，额外加一些针对JWT的攻击防护规则

内容的提问来源于stack exchange，提问作者Stevonix