C#中无法验证Azure AD令牌：Blazor WASM API验证求助

核心问题定位 #

你遇到的Signature validation failed错误，大概率和租户Issuer不匹配、令牌类型错误或签名密钥加载异常有关，以下是具体排查和修复步骤：

1. 确认发送的是访问令牌而非ID令牌 #

Blazor WASM调用外部API时，必须使用针对该API的访问令牌，而非前端自用的ID令牌。ID令牌仅用于前端自身身份验证，用它调用API会直接导致签名验证失败。

2. 修正Issuer验证逻辑 #

使用common租户时，令牌的iss字段格式为https://login.microsoftonline.com/{具体租户ID}/v2.0，但从common发现端点获取的config.Issuer是https://login.microsoftonline.com/common/v2.0，直接设置ValidIssuer会完全不匹配。解决方法二选一：

• 临时关闭Issuer验证（仅用于排查）：ValidateIssuer = false
• 自定义Issuer验证逻辑（生产环境推荐）：

  IssuerValidator = (issuer, token, parameters) =>
  {
      // 验证Issuer是否符合Azure AD v2.0租户格式
      if (System.Text.RegularExpressions.Regex.IsMatch(issuer, @"^https://login\.microsoftonline\.com/[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}/v2\.0$"))
      {
          return issuer;
      }
      throw new Microsoft.IdentityModel.Tokens.SecurityTokenInvalidIssuerException("无效的Issuer");
  }
  

3. 确保签名密钥正确加载 #

• 强制刷新配置获取最新密钥：

  var config = await configManager.GetConfigurationAsync(System.Threading.CancellationToken.None);
  

• 用jwt.io查看令牌的alg字段（如RS256），检查config.SigningKeys中是否包含对应算法的密钥。

4. 推荐的TokenValidationParameters配置（生产环境） #

var stsDiscoveryEndpoint = "https://login.microsoftonline.com/common/v2.0/.well-known/openid-configuration";
var configManager = new ConfigurationManager<OpenIdConnectConfiguration>(
    stsDiscoveryEndpoint, 
    new OpenIdConnectConfigurationRetriever());
var config = await configManager.GetConfigurationAsync();

var validationParameters = new TokenValidationParameters
{
    ValidateAudience = true,
    ValidAudience = "你的外部API的ClientId或受众标识符", // 必须设置为API的受众
    ValidateIssuer = true,
    IssuerValidator = (issuer, token, parameters) =>
    {
        if (System.Text.RegularExpressions.Regex.IsMatch(issuer, @"^https://login\.microsoftonline\.com/[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}/v2\.0$"))
        {
            return issuer;
        }
        throw new Microsoft.IdentityModel.Tokens.SecurityTokenInvalidIssuerException("无效的Issuer");
    },
    IssuerSigningKeys = config.SigningKeys,
    ValidateLifetime = true,
    ClockSkew = TimeSpan.FromMinutes(5) // 允许5分钟的时间偏差，避免令牌过期时间差问题
};

5. 额外排查点 #

• 检查令牌提取逻辑：确保从请求头中正确提取Bearer令牌，没有截断、添加额外空格或字符。
• 验证令牌完整性：用jwt.io解析令牌，确认signature部分显示Signature verified，排除令牌本身被篡改的可能。

内容的提问来源于stack exchange，提问作者pascx64