如何在API Management配置Azure AAD、解决AADSTS50011错误及获取.NET调用代码

一、搞定AADSTS50011错误：回复URL不匹配排查指南 #

这个错误说白了就是你Azure AD应用注册里配置的**Redirect URI（回复URL）**和实际请求里带的完全对不上——哪怕多一个斜杠、少个HTTPS前缀都会触发。既然你跟着官方文档走还是踩坑，建议从这几个容易忽略的细节查起：

• 核对应用注册的回复URL细节：
  登录Azure门户找到报错里的那个应用（24gktm5-5khpnj3h9nphkmm=h-hh2h58h9），转到「身份验证」页面：
  • 如果是用APIM的OAuth授权码流，回复URL必须是https://<你的APIM实例名>.azure-api.net/oauth2/authresp，别写错实例名，也别把HTTPS写成HTTP
  • 注意末尾有没有多余的斜杠，比如/oauth2/authresp/和/oauth2/authresp是两个完全不同的地址
• 检查APIM的OAuth配置：
  进入你的APIM实例，找到对应的API，去「安全」→「OAuth 2.0」里确认：
  • 选的是不是正确的Azure AD应用注册
  • 回调URL是不是和应用注册里的完全一致，复制粘贴比手动输入更靠谱
• 抓包看实际请求的redirect_uri：
  用Fiddler之类的工具抓一下授权请求，看请求AAD的URL里redirect_uri参数的值，和应用注册里的对比，一眼就能看出差异
• 别搞混回复URL的类型：
  如果是SPA应用，回复URL类型要选「单页应用」；如果是后端服务调用，选「Web」类型，类型错了哪怕地址对也会不生效

二、.NET控制台应用调用APIM端点的完整代码示例 #

下面是一个实用的示例，用MSAL库获取AAD令牌，再调用受AAD保护的APIM端点，适合后台服务无交互场景：

第一步：安装必要的NuGet包 #

打开NuGet包管理器控制台，运行：

Install-Package Microsoft.Identity.Client
Install-Package System.Net.Http

第二步：完整代码 #

using Microsoft.Identity.Client;
using System;
using System.Net.Http;
using System.Net.Http.Headers;
using System.Threading.Tasks;

namespace ApimConsoleClient
{
    class Program
    {
        // 替换成你的实际配置
        private static readonly string TenantId = "你的Azure AD租户ID（比如xxx.onmicrosoft.com或GUID）";
        private static readonly string ClientId = "你的控制台应用注册的Client ID";
        private static readonly string ClientSecret = "你的控制台应用的客户端密钥（在应用注册的「证书和密码」里生成）";
        private static readonly string ApimEndpoint = "https://你的APIM实例名.azure-api.net/你的API路径（比如/api/values）";
        private static readonly string Scope = "api://你的APIM后端应用注册的Client ID/.default"; // 或者你定义的API范围

        static async Task Main(string[] args)
        {
            try
            {
                // 获取AAD访问令牌（客户端凭证流，适合后台无交互场景）
                var confidentialApp = ConfidentialClientApplicationBuilder
                    .Create(ClientId)
                    .WithClientSecret(ClientSecret)
                    .WithAuthority(new Uri($"https://login.microsoftonline.com/{TenantId}"))
                    .Build();

                var tokenResult = await confidentialApp.AcquireTokenForClient(new[] { Scope })
                    .ExecuteAsync();

                Console.WriteLine($"成功获取令牌: {tokenResult.AccessToken.Substring(0, 20)}...");

                // 调用APIM端点
                using var httpClient = new HttpClient();
                // 带上Bearer令牌
                httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", tokenResult.AccessToken);
                
                // 如果你的APIM还要求订阅密钥，取消下面这行注释并替换成你的密钥
                // httpClient.DefaultRequestHeaders.Add("Ocp-Apim-Subscription-Key", "你的APIM订阅密钥");

                var apiResponse = await httpClient.GetAsync(ApimEndpoint);
                // 确保请求成功，否则抛出异常
                apiResponse.EnsureSuccessStatusCode();

                var responseContent = await apiResponse.Content.ReadAsStringAsync();
                Console.WriteLine("\nAPI响应内容:");
                Console.WriteLine(responseContent);
            }
            catch (Exception ex)
            {
                Console.WriteLine($"出错了: {ex.Message}");
                if (ex.InnerException != null)
                {
                    Console.WriteLine($"内部错误: {ex.InnerException.Message}");
                }
            }
        }
    }
}

代码说明： #

• 这里用的是客户端凭证流，适合后台服务调用，不需要用户登录
• 如果需要用户交互的场景（比如桌面应用），可以换成PublicClientApplicationBuilder，调用AcquireTokenInteractive方法
• 所有占位符一定要替换成你自己的实际值，别直接用示例里的内容
• 如果APIM配置了订阅密钥，记得加上Ocp-Apim-Subscription-Key请求头

内容的提问来源于stack exchange，提问作者S.Chandra Sekhar