.NET 6中Azure AD令牌验证失败（IDX10511）求助

问题背景 #

我们有一个Angular应用，使用capacitor-oauth2库从内部Azure AD和Azure B2C AD获取令牌。其中Azure B2C的令牌能通过以下代码正常验证并调用控制器方法：

builder.Services.AddAuthentication(options =>
    {
        options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    })
    .AddJwtBearer("B2C", options =>
    {
        options.Authority = $"https://eisvogel2.b2clogin.com/eisvogel2.onmicrosoft.com/B2C_1_susi/v2.0/";
        options.Audience = $"6fba7d06-5b7a-41bd-8371-6f1ad6f3176c";
    });

但从内部Azure AD获取的MS Graph令牌，用Visual Studio生成的认证代码验证时，始终抛出IDX10511签名验证失败异常：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAd"));

已尝试多篇技术帖子的方案均无效，基于.NET 6构建，需要技术指引。

核心排查点与解决方案 #

1. 确认令牌受众（Audience）匹配 #

内部Azure AD令牌默认受众是MS Graph（通常为https://graph.microsoft.com），但你的API验证的受众应该是自身应用的Client ID或标识符URI。如果两者不匹配，验证必然失败：

• 检查appsettings.json中的AzureAd:Audience配置，确保它是你的API的Client ID或应用注册的标识符URI，而非MS Graph地址。
• 在Angular应用的capacitor-oauth2配置中，确保请求的scope包含你的API权限（例如api://{你的API Client ID}/access_as_user），不要只请求MS Graph权限（如User.Read）。

2. 验证Authority配置正确性 #

内部Azure AD的Authority格式为https://login.microsoftonline.com/{租户ID}/v2.0，和B2C格式不同。检查appsettings.json配置：

"AzureAd": {
  "Instance": "https://login.microsoftonline.com/",
  "TenantId": "你的租户ID（域名或GUID均可）",
  "ClientId": "你的API的Client ID",
  "Audience": "你的API的Client ID或标识符URI"
}

• 若使用v1.0端点，Authority应为https://login.microsoftonline.com/{租户ID}，建议优先用v2.0端点保持统一。

3. 检查令牌签名算法与密钥获取 #

IDX10511多数情况是无法获取正确签名密钥，或令牌算法与配置不匹配：

• 把内部AD获取的令牌粘贴到JWT.io，查看alg字段（通常是RS256），AddMicrosoftIdentityWebApi默认支持该算法，无需额外配置。
• 手动访问Azure AD的元数据端点{Authority}/.well-known/openid-configuration，确认能正常返回包含jwks_uri的元数据，排除网络或权限导致的密钥获取失败。

4. 配置多认证方案（同时支持B2C和内部AD） #

如果API需要兼容两种令牌，需配置多个认证方案，并指定使用规则：

builder.Services.AddAuthentication()
    // B2C认证方案
    .AddJwtBearer("B2C", options =>
    {
        options.Authority = $"https://eisvogel2.b2clogin.com/eisvogel2.onmicrosoft.com/B2C_1_susi/v2.0/";
        options.Audience = $"6fba7d06-5b7a-41bd-8371-6f1ad6f3176c";
    })
    // 内部AD认证方案
    .AddMicrosoftIdentityWebApi("AzureAD", options =>
    {
        builder.Configuration.Bind("AzureAd", options);
    }, builder.Configuration.GetSection("AzureAd"));

// 设置默认授权策略，支持两种认证方案
builder.Services.AddAuthorization(options =>
{
    var defaultPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .AddAuthenticationSchemes("B2C", "AzureAD")
        .Build();
    options.DefaultPolicy = defaultPolicy;
});

• 也可以在控制器或Action上用[Authorize(AuthenticationSchemes = "AzureAD")]指定使用内部AD方案。

.NET 6与旧版本的差异 #

.NET 6简化了Program.cs写法，移除了Startup.cs，但认证核心逻辑和.NET 5基本一致：

• 无需手动添加services.AddControllersWithViews()，Web API项目默认已包含builder.Services.AddControllers();。
• AddMicrosoftIdentityWebApi在.NET 6中兼容良好，配置方式和旧版本无差异，问题大概率不在框架版本，而是配置或令牌本身的问题。

内容的提问来源于stack exchange，提问作者Michael Kröschel