Azure App Service中ASP.NET MVC 5 Bearer Token跨服务认证失败求助

可能的根因 #

• 机器密钥不一致：Azure独立App Service默认使用各自的机器密钥，Service A用自身密钥加密Token，Service B用不同密钥解密，导致验证失败。本地环境共享机器密钥无此问题。
• Token受众校验不通过：Service B的OAuth配置中AllowedAudience未匹配Service A颁发Token时指定的受众值，或Service A未正确设置受众参数。
• Easy Auth冲突：启用Azure App Service自带的认证（Easy Auth）后，会优先拦截认证请求，覆盖自定义OAuth Bearer逻辑，触发默认登录重定向。
• Issuer地址不匹配：本地用HTTP，Azure强制HTTPS，Service A颁发Token时的Issuer为HTTP地址，Service B校验Issuer时因地址不一致拒绝。
• 时钟偏差：Azure服务器与本地时钟存在时差，导致Token的exp（过期时间）或nbf（生效时间）校验不通过。

调试日志获取方法 #

• 启用Owin认证详细追踪：在Service B的Startup.cs中扩展OAuth配置，输出验证细节到日志：

  app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions
  {
      Provider = new OAuthBearerAuthenticationProvider
      {
          OnValidateIdentity = context =>
          {
              System.Diagnostics.Trace.TraceError($"Identity Validation Error: {context.Error}");
              System.Diagnostics.Trace.TraceInformation($"Token Details: {context.Token}");
              return Task.CompletedTask;
          },
          OnApplyChallenge = context =>
          {
              // 给响应头添加错误信息，方便前端排查
              context.OwinContext.Response.Headers.Add("X-Auth-Failure-Reason", new[] { context.Error ?? "Unknown" });
              return Task.CompletedTask;
          }
      }
  });
  

• Azure日志配置与查看：
  • 进入Service B的Azure门户，打开「诊断设置」，启用「应用日志（文件系统）」和「Web服务器日志」，日志级别设为「Verbose」。
  • 打开「高级工具」>「Kudu」>「调试控制台」>「LogFiles」，查看application目录下的日志文件，里面包含Owin输出的Trace信息。
• 自定义响应头排查：通过浏览器开发者工具的「网络」面板，查看请求Service B时返回的响应头，X-Auth-Failure-Reason会直接显示认证失败原因。
• 本地模拟Azure环境：在本地IIS中创建两个独立站点，配置不同的机器密钥，复现Azure环境下的隔离情况，验证问题是否由密钥不一致导致。

内容的提问来源于stack exchange，提问作者Vanice