Azure DevOps OAuth认证异常：无法获取AccessToken（JWT反序列化失败）

看起来你踩了Azure DevOps OAuth2流程里一个容易忽略的坑——client_assertion参数的要求。你现在直接把应用注册时拿到的Secret字符串传进去了，但Azure DevOps要求这个参数必须是一个用你的应用Secret签名的JWT令牌，而不是原始的Secret值。这就是服务器返回"Failed to deserialize the JsonWebToken object"的原因：它收到的是普通字符串，不是合法的JWT格式。

问题根源拆解 #

当你向https://app.vssps.visualstudio.com/oauth2/token发起请求时，client_assertion是用来证明应用身份的核心凭证，必须是符合JWT标准的签名令牌。这个JWT需要用你注册应用时得到的Secret作为密钥进行HS256签名，并且包含特定的Claims字段。

解决方案步骤 #

1. 添加必要的NuGet包

首先安装生成JWT所需的依赖库：

Install-Package Microsoft.IdentityModel.Tokens
Install-Package System.IdentityModel.Tokens.Jwt

2. 编写生成Client Assertion的方法

添加一个方法来生成符合Azure DevOps要求的JWT：

private string GenerateClientAssertion(string clientId, string clientSecret)
{
    var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(clientSecret));
    var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

    var claims = new[]
    {
        new Claim("iss", clientId), // 发行者：你的应用ClientId
        new Claim("sub", clientId), // 主题：你的应用ClientId
        new Claim("aud", "https://app.vssps.visualstudio.com/oauth2/token"), // 受众：固定为token端点地址
        new Claim("exp", DateTimeOffset.UtcNow.AddMinutes(5).ToUnixTimeSeconds().ToString()), // 过期时间：建议5分钟内，不超过1小时
        new Claim("nbf", DateTimeOffset.UtcNow.ToUnixTimeSeconds().ToString()), // 生效时间：当前时间
        new Claim("jti", Guid.NewGuid().ToString()) // 唯一标识：防止重放攻击
    };

    var token = new JwtSecurityToken(
        claims: claims,
        signingCredentials: credentials);

    return new JwtSecurityTokenHandler().WriteToken(token);
}

3. 修改GetAccessToken方法

把原来直接传config.Secret的地方替换成生成的Client Assertion：

public async Task<string> GetAccessToken(string code, Guid state)
{
    // 生成符合要求的client_assertion
    var clientAssertion = GenerateClientAssertion(config.ClientId, config.Secret);

    Dictionary<string, string> form = new Dictionary<string, string>() {
        { "client_assertion_type", "urn:ietf:params:oauth:client-assertion-type:jwt-bearer" },
        { "client_assertion", clientAssertion }, // 替换为生成的JWT，不再用原始Secret
        { "grant_type", "urn:ietf:params:oauth:grant-type:jwt-bearer" },
        { "assertion", code },
        { "redirect_uri", config.RedirectUri }
    };

    using HttpClient httpClient = new HttpClient(); // 使用using自动释放资源
    HttpResponseMessage responseMessage = await httpClient.PostAsync(
        "https://app.vssps.visualstudio.com/oauth2/token",
        new FormUrlEncodedContent(form)
    );

    if (responseMessage.IsSuccessStatusCode)
    {
        string body = await responseMessage.Content.ReadAsStringAsync();
        // 解析返回的JSON，提取access_token
        var tokenResponse = System.Text.Json.JsonSerializer.Deserialize<Dictionary<string, string>>(body);
        return tokenResponse["access_token"];
    }
    else
    {
        string content = await responseMessage.Content.ReadAsStringAsync();
        throw new Exception($"{responseMessage.ReasonPhrase} {(string.IsNullOrEmpty(content) ? "" : $"({content})")}");
    }
}

4. 额外检查项

• 确认你的redirect_uri和应用注册页面填写的完全一致（包括大小写、是否有结尾斜杠等细节，Azure DevOps对这个匹配要求很严格）
• 检查授权请求里的scope是否和token请求里的一致，且都是应用注册时获批的权限
• 确保生成的Client Assertion的exp时间不超过当前时间1小时（Azure DevOps不接受有效期过长的JWT）

为什么之前的授权步骤正常？ #

因为授权步骤只验证你的ClientId和redirect_uri是否正确，不需要客户端身份的JWT证明——只有在交换AccessToken的时候，才需要用Client Assertion来验证应用的合法性，这也是OAuth2客户端凭证流程的安全要求。

内容的提问来源于stack exchange，提问作者jannikb