已关联Azure静态Web应用调用App Service API仍返回401未授权

可能的原因 #

• 身份验证配置不匹配
  • App Service未启用系统分配托管标识，或SWA未被授予访问该API的权限
  • SWA的routes.json中配置了错误的权限规则，比如对无需认证的路径设置了强制认证，或认证规则未正确关联到后端API
• App Service的Easy Auth拦截请求
  • App Service开启了Easy Auth，但未将SWA的请求来源纳入允许范围，或Azure AD配置中未赋予SWA服务主体访问API的权限
• 网络访问限制
  • App Service的访问限制列表未添加SWA的出站IP地址，导致请求被提前拦截
  • 若App Service部署在虚拟网络内，SWA未被配置为可访问VNet内资源

调试日志获取方法 #

• 查看SWA诊断日志
  在Azure Portal的SWA资源中，进入「诊断设置」，启用Static Web Apps Logs日志收集，然后通过Log Analytics查询请求转发的详细日志，确认请求是否到达SWA，以及转发到后端时的错误细节
• 检查App Service身份验证日志
  若App Service开启了Easy Auth，可在「日志」面板中查看「身份验证日志」，或在Log Analytics中查询AppServiceAuthLogs表，定位认证失败的具体原因
• 验证SWA与后端的关联状态
  使用Azure CLI执行命令：az staticwebapp show --name <你的SWA名称> --resource-group <资源组名称>，检查linkedBackend字段的配置是否正确，确认后端API的关联信息无误
• 直接测试App Service API
  绕过SWA，用Postman/curl直接调用App Service的API端点：

  curl https://<你的App Service名称>.azurewebsites.net/api/xxx
  

  若直接访问也返回401，说明问题出在App Service自身的认证配置；若直接访问正常，则问题集中在SWA的转发规则或权限配置

解决方案建议 #

• 配置托管标识授权
  1. 给App Service启用系统分配托管标识：进入App Service资源 → 「身份」→ 「系统分配」→ 开启并保存
  2. 在SWA资源中，进入「API」→ 「关联的后端」，添加目标App Service，选择「使用托管标识授权」
  3. 给SWA的托管标识分配App Service的Web App Contributor角色（或更细粒度的Microsoft.Web/sites/invoke/action权限）
• 修正routes.json配置
  检查SWA根目录下的routes.json，确保转发到后端的路径规则正确：

  {
    "routes": [
      {
        "route": "/api/*",
        "backend": {
          "url": "https://<你的App Service名称>.azurewebsites.net/api/{*}"
        },
        "auth": false // 根据实际需求调整，若无需认证则设为false
      }
    ]
  }
  

• 调整App Service访问限制
  进入App Service资源 → 「网络」→ 「访问限制」，添加SWA的所有出站IP地址（可在SWA「概述」页面获取），允许这些IP访问App Service
• 排查Easy Auth配置
  若使用Azure AD认证，确保SWA自动创建的应用注册被添加到App Service API的允许访问列表中；测试阶段可临时设置App Service认证为「允许匿名请求」，验证是否为认证规则导致的拦截（生产环境需恢复严格认证）

内容的提问来源于stack exchange，提问作者Albin Cederblad