ASP.NET Core 3.1 Web API调用Azure B2C令牌遇401及签名无效求助

核心问题分析 #

你遇到的401错误源于Web API对JWT令牌的验证失败，jwt.io显示的"Invalid Signature"并非直接故障原因，配置中的策略匹配、scope设置、认证逻辑才是关键。

1. 签名无效的含义与原因 #

jwt.io提示签名无效，是因为它默认使用通用公钥源验证，而Azure B2C每个用户流/策略都有独立的签名密钥，jwt.io无法自动获取你ROPC策略对应的公钥，因此会误判。但只要Web API配置正确，会自动从B2C元数据端点获取对应公钥，所以该提示不代表令牌本身无效，重点仍在Web API的验证逻辑。

2. 修正appsettings.json配置 #

ROPC策略不能直接放到SignUpSignInPolicyId（该字段对应默认注册登录策略），需确保配置的Authority指向ROPC策略地址，调整后的配置如下：

"AzureB2C": {
    "Instance": "https://[tenant].b2clogin.com/",
    "Domain": "[domain name]",
    "TenantId": "[tenantId]",
    "ClientId": "[clientId]",
    "SignUpSignInPolicyId": "[ropc policy name]", // 该字段会被用来构造ROPC策略的Authority
    "Scopes": "https://[tenant].onmicrosoft.com/[your-api-name]/access_as_user" // 必须是Web API注册时暴露的自定义scope
}

注意：Scopes格式必须为https://{租户域名}/{API标识}/{scope名称}，且是你在Azure B2C中为Web API配置的有效scope。

3. 简化Startup.cs的认证配置 #

你的配置包含了调用下游API（Microsoft Graph）的逻辑，若当前Web API无需调用下游服务，建议简化配置以降低复杂度：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(Configuration.GetSection("AzureB2C"));

AddMicrosoftIdentityWebApi会自动处理B2C的JWT验证，包括从元数据端点获取策略签名密钥、验证issuer和scope等核心逻辑。

4. 关键配置检查点 #

• 客户端权限：在Azure B2C门户中，确保客户端应用已被授予Web API的目标scope权限，且完成管理员同意（ROPC流需提前完成权限同意）。
• 令牌Issuer匹配：解码令牌查看iss字段，格式应为https://[tenant].b2clogin.com/tfp/[tenantId]/[ropc-policy-name]/v2.0/，Web API配置的Authority必须与该值完全一致，否则验证会失败。
• 包版本兼容：ASP.NET Core 3.1需搭配3.x系列的Microsoft.Identity.Web包，避免版本不兼容导致的验证逻辑异常。

5. 调试排查 #

启用Web API的调试日志，可查看验证失败的具体原因：
在appsettings.json中添加日志配置：

"Logging": {
    "LogLevel": {
        "Microsoft.Identity.Web": "Debug",
        "Microsoft.AspNetCore.Authentication": "Debug"
    }
}

运行Web API后，查看日志中JWT验证相关的错误信息（如issuer不匹配、scope无效、签名验证失败等），可快速定位问题。

内容的提问来源于stack exchange，提问作者ManuBera