IdentityServer4调用受保护API持续返回401/403错误排查

作为IdentityServer4新手，碰到拿到授权令牌却访问API被拒绝的情况太常见了，咱们一步步来梳理问题、修复配置：

1. 先确认IdentityServer4服务端的核心配置 #

首先得确保你的IdentityServer4服务里的客户端与API资源配置是匹配的：

• 客户端配置：检查weatherapi客户端的AllowedGrantTypes是否包含client_credentials，AllowedScopes是否明确添加了weatherapi_scope，同时ClientSecret要和你Program.cs里写的weatherapi完全一致；
• API资源配置：确认你定义的API资源Name是weatherapi（要和API端Startup.cs里的options.ApiName对应），且该API资源的Scopes列表里包含weatherapi_scope。

2. 修复API端的认证与授权配置（Startup.cs） #

你的Startup.cs里的认证配置有几个关键调整点：

• 开启Scope验证：默认AddIdentityServerAuthentication不会自动校验令牌里的scope，需要显式启用；
• 确保受众验证匹配：API的ApiName要和令牌里的aud（受众）字段对应；
• 添加授权策略：明确要求请求必须携带指定的scope才能访问。

修改后的ConfigureServices代码：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication("Bearer")
        .AddIdentityServerAuthentication("Bearer", options =>
        {
            options.ApiName = "weatherapi"; // 必须和IdentityServer中定义的API资源Name一致
            options.Authority = "https://localhost:44311/";
            options.RequireHttpsMetadata = true; // 本地HTTPS环境保持true，生产环境必须开启
            options.ValidateScope = true; // 开启Scope验证
            options.NameClaimType = "name"; // 可选，根据你的令牌声明调整
            options.RoleClaimType = "role";
        });

    // 添加授权策略，校验所需的scope
    services.AddAuthorization(options =>
    {
        options.AddPolicy("WeatherApiScope", policy =>
        {
            policy.RequireAuthenticatedUser();
            policy.RequireClaim("scope", "weatherapi_scope"); // 要求令牌包含该scope
        });
    });

    services.AddControllers();
}

同时修改WeatherForecastController的授权特性，指定使用上面的策略：

[ApiController]
[Route("[controller]")]
[Authorize(Policy = "WeatherApiScope")] // 替换原来的[Authorize]
public class WeatherForecastController : ControllerBase
{
    // ... 原有代码保持不变
}

3. 检查令牌内容是否符合要求 #

拿到tokenResponse.AccessToken后，去jwt.io解析它，重点确认：

• aud（受众）字段是否包含weatherapi；
• scope字段是否包含weatherapi_scope；
• exp（过期时间）是否在有效期内。

如果令牌里没有这些内容，说明IdentityServer4服务端的客户端或资源配置有问题，回到第一步修正即可。

4. 调试小技巧 #

在Program.cs里添加一些打印代码，方便直观看到问题：

Console.WriteLine($"Token: {tokenResponse.AccessToken}");
Console.WriteLine($"请求状态码: {response.StatusCode}");
Console.WriteLine($"响应内容: {content}");

这样能快速定位是令牌本身的问题，还是API端的校验逻辑问题。

内容的提问来源于stack exchange，提问作者Syed Rafey Husain