使用Auth0自定义域名时，前端Access Token在后端API验证失败

以下是可能导致该问题的原因及对应的解决办法：

1. Token签发者（Issuer）验证不匹配 #

自定义域名启用后，Auth0签发的Access Token中iss字段会变为你的自定义域名格式（例如https://auth.yourdomain.com/）。如果后端未同步更新签发者验证规则，即使修改了Authority配置，仍会因iss不匹配触发401。

解决步骤：

• 打开Startup.cs或Program.cs，检查AddJwtBearer的TokenValidationParameters配置，确保ValidIssuer设置为自定义域名（必须包含末尾斜杠），且ValidateIssuer为true。
• 示例代码：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "https://auth.yourdomain.com/";
        options.Audience = "https://yourapi-identifier.com/"; // 你的API标识符
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = "https://auth.yourdomain.com/",
            ValidateAudience = true,
            ValidAudience = "https://yourapi-identifier.com/"
        };
    });

2. JWKS密钥端点访问异常 #

.NET的JwtBearer中间件会自动从Authority指向的域名拉取JWKS密钥（路径为/.well-known/jwks.json）用于验证Token签名。如果自定义域名的JWKS端点无法访问，或返回的密钥无效，会导致签名验证失败。

解决步骤：

• 在浏览器直接访问https://auth.yourdomain.com/.well-known/jwks.json，确认返回包含公钥的JSON数据。
• 检查后端服务器是否能正常访问该端点，排除防火墙、代理或DNS解析问题。

3. 前端请求Token时受众（Audience）配置错误 #

前端切换自定义域名后，若未同步指定正确的API受众，获取到的Token会因aud字段不匹配被后端拒绝。

解决步骤：

• 检查Angular Auth0 SDK的初始化配置，确保audience字段与后端ValidAudience完全一致：

AuthModule.forRoot({
  domain: 'auth.yourdomain.com',
  clientId: 'your-client-id',
  audience: 'https://yourapi-identifier.com/', // 必须和后端配置一致
  redirectUri: window.location.origin
})

4. Auth0自定义域名配置未完全生效 #

自定义域名的DNS解析、Auth0侧的域名验证可能存在延迟，导致签发的Token字段异常。

解决步骤：

• 使用jwt.io解析前端获取的Access Token，重点检查：
  • iss字段是否等于自定义域名（带https和末尾斜杠）
  • aud字段是否等于你的API标识符
• 若字段不正确，重新检查Auth0控制台的自定义域名状态，确保已完成验证，且应用的域名配置已切换为自定义域名。

5. 浏览器缓存或旧会话干扰 #

前端可能缓存了来自默认域名的旧Token，或浏览器保留了Auth0的旧会话信息，导致新登录后仍使用无效Token。

解决步骤：

• 强制清除浏览器的缓存和Cookie，重新登录获取新Token。
• 在Angular应用中，登录前先调用Auth0 SDK的logout()方法清除旧会话。

内容的提问来源于stack exchange，提问作者Fabricio Rodriguez