OAuth2 API认证配置报错求助：两种方式均无法正常认证

背景梳理 #

• 认证拆分：UI认证（ClientId、ClientSecret、Tenant、Redirect URL）；API认证（ApiClientId、APPID URI、Tenant）
• Token获取方式：以UI_ClientId作为client_id，API_ClientId作为scope，搭配UI_ClientSecret和Tenant请求token
• API端两种配置报错：
  1. 使用AddMicrosoftIdentityWebApi时触发空引用错误：Object reference not set to an instance...
  2. 使用AddAzureADBearer时返回401未授权

问题1：AddMicrosoftIdentityWebApi空引用错误 #

原因 #

代码中直接使用的azureAdOptions未完成初始化绑定，导致对象为null，触发空引用。

修复配置 #

1. 先定义AzureAD配置实体类（若未定义）：

public class AzureAdOptions
{
    public string Instance { get; set; }
    public string TenantId { get; set; }
    public string ClientId { get; set; }
    public string ApiScopes { get; set; }
}

2. 在ConfigureServices中先初始化并绑定配置，再进行认证配置：

// 先绑定配置到实体类，避免空引用
var azureAdOptions = new AzureAdOptions();
Configuration.Bind("AzureAd", azureAdOptions);

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(options =>
    {
        Configuration.Bind("AzureAd", options);
        // 明确指定v2.0授权端点（匹配你的token获取流程）
        options.Authority = $"{azureAdOptions.Instance}{azureAdOptions.TenantId}/v2.0";
        // Audience需与token中的aud字段一致（可通过jwt.io解码token查看）
        options.Audience = azureAdOptions.ClientId;
        options.TokenValidationParameters = new TokenValidationParameters()
        {
            ValidateAudience = true,
            ValidateIssuer = true,
            ValidIssuer = $"https://login.microsoftonline.com/{azureAdOptions.TenantId}/v2.0"
        };
    });

问题2：AddAzureADBearer未授权错误 #

原因 #

AddAzureADBearer默认适配Azure AD v1.0端点的token，但你的token是通过v2.0流程获取的，导致issuer、audience验证不匹配。

修复配置 #

手动调整配置适配v2.0 token：

var azureAdOptions = new AzureAdOptions();
Configuration.Bind("AzureAd", azureAdOptions);

services.AddAuthentication(AzureADDefaults.BearerAuthenticationScheme)
    .AddAzureADBearer(options =>
    {
        Configuration.Bind("AzureAd", options);
        // 强制指定v2.0端点
        options.Authority = $"{azureAdOptions.Instance}{azureAdOptions.TenantId}/v2.0";
        options.ClientId = azureAdOptions.ClientId;
        // 覆盖验证参数，匹配v2.0 token的iss和aud
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidAudience = azureAdOptions.ClientId, // 或API的APP ID URI，以token的aud为准
            ValidIssuer = $"https://login.microsoftonline.com/{azureAdOptions.TenantId}/v2.0",
            ValidateIssuer = true,
            ValidateAudience = true
        };
    });

核心遗漏配置点 #

1. 端点版本匹配：你的token获取流程是v2.0（使用scope参数），API认证必须配置v2.0的Authority（即https://login.microsoftonline.com/{tenantId}/v2.0），否则issuer验证失败。
2. Scope参数正确性：获取token时，scope应使用API的APP ID URI + /.default（例如https://xxx/tenantId/APIAccess/Name.API/.default），而非直接用ApiClientId。v2.0中直接用ClientId作为scope会导致token的aud为ClientId，若API配置期望aud为APP ID URI，会触发验证失败。
3. 配置实体初始化：第一种配置中未初始化azureAdOptions导致空引用，必须先绑定配置到实体类再使用。
4. Token验证参数一致性：通过jwt.io解码token，确认iss和aud字段，确保API配置中的ValidIssuer、ValidAudience与这些字段完全匹配。

内容的提问来源于stack exchange，提问作者Krzysztof