如何配置C# Web API以同时支持角色与范围授权，适配两种JWT场景

你的问题核心是同一API需要同时支持应用身份（client credentials）和用户身份（authorization code via SPA）的授权访问，但用户身份请求返回403，结合控制器的授权属性和Azure AD/APIM的配置逻辑，以下是具体排查和解决步骤：

1. 先明确两种授权模式的Token差异 #

• Client Credentials：Token代表应用身份，roles claim来自应用被分配的Azure AD应用角色，scp claim对应应用级权限范围。
• Authorization Code（SPA）：Token代表用户身份，roles claim来自用户被分配的Azure AD角色（应用角色或目录角色），scp claim对应用户级权限范围。

控制器上的[Authorize(Roles = "Task.Test")] + [RequiredScope] + 默认[Authorize]是逻辑AND关系，意味着两种模式的Token必须同时满足：

• Token合法（已认证）
• 包含roles: Task.Test claim
• 包含配置的AzureAd:Scopes中的范围

2. 排查SPA Token的Claims #

用jwt.ms解析SPA获取的Token，重点检查：

• roles字段是否包含Task.Test：如果没有，说明用户未被分配该角色
• scp字段是否包含AzureAd:Scopes配置的范围：如果没有，说明SPA授权请求未申请该范围，或APIM未传递正确范围
• aud字段是否与API的Azure AD ClientID完全匹配：不匹配会直接导致授权失败
• iss字段是否属于你的Azure AD租户：确保Token来源合法

3. 修正Azure AD配置 #

（1）角色分配 #

• 若Task.Test是应用角色：在API的Azure AD应用注册中，编辑应用角色，将allowedMemberTypes设为User和Application，然后分别给SPA的用户和Client Credentials的应用分配该角色。
• 若Task.Test是目录角色：确保SPA的用户被添加到对应目录角色组中。

（2）范围配置 #

在API的Azure AD应用注册中，暴露API页面添加两个范围：

• 用于用户访问：access_as_user（启用"管理员和用户均可同意"）
• 用于应用访问：access_as_application（仅管理员可同意）
  然后在API的appsettings.json中更新AzureAd:Scopes为两个范围的逗号分隔值：

"AzureAd": {
  // 其他配置...
  "Scopes": "api://{你的API ClientID}/access_as_user,api://{你的API ClientID}/access_as_application"
}

4. 简化控制器授权属性 #

多个[Authorize]属性叠加容易引发逻辑冲突，建议合并为一个授权策略：

（1）在Program.cs中定义授权策略 #

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("ApiAccessPolicy", policy =>
    {
        policy.RequireAuthenticatedUser();
        policy.RequireRole("Task.Test");
        policy.RequireScope(builder.Configuration["AzureAd:Scopes"].Split(','));
    });
});

（2）更新控制器属性 #

替换原有多个授权属性为：

namespace webapi.Controllers
{
    [Authorize(Policy = "ApiAccessPolicy")]
    [ApiController]
    [EnableCors("AllowSpecificOrigin")]
    [Route("/")]
    public class MyController : ControllerBase
    {
        // 控制器方法...
    }
}

5. 检查APIM策略配置 #

确保APIM不会篡改或丢失SPA的Token：

• 在APIM的API入站策略中，保留原始Authorization头传递到后端API：

<inbound>
    <base />
    <!-- 确保不修改Authorization头 -->
    <set-header name="Authorization" exists-action="override">
        <value>@(context.Request.Headers.GetValueOrDefault("Authorization", ""))</value>
    </set-header>
</inbound>

• 确认APIM的OAuth 2.0授权服务器配置中，已正确关联SPA的Azure AD应用注册，且授权范围包含access_as_user。

6. 验证SPA授权请求 #

确保SPA在发起授权码请求时，已包含正确的范围参数：

// 示例：MSAL.js的授权请求
const loginRequest = {
    scopes: ["api://{你的API ClientID}/access_as_user"]
};

内容的提问来源于stack exchange，提问作者wernhervb