调用Azure AD Web API时控制台应用报401错误求助

首先，咱们先拆解一下你遇到的问题：你用交互式用户认证流（Authorization Code Flow）获取的令牌调用API返回401，但用客户端凭据流（Client Credentials Flow）却能成功。这两种流的核心区别是：前者代表用户身份访问API，后者代表应用本身访问API，所以401的根源基本和权限配置、令牌声明不匹配有关。

一、401错误的可能原因 #

1. 令牌受众（Audience）不匹配 #

你拿到的access token的aud声明必须和Web API的**资源ID（Application ID URI或Client ID）**完全一致。可以把令牌复制到jwt.ms查看aud字段：

• 如果aud是Azure AD的Graph API（比如https://graph.microsoft.com），那说明你传入的ResourceId参数错误，必须改成Web API的资源标识。
• 如果aud不对，API会直接拒绝这个令牌，返回401。

2. Web API未配置委派权限 #

客户端凭据流用的是应用权限（Application Permissions），而交互式流用的是委派权限（Delegated Permissions）：

• 你需要在Azure AD的应用注册中，给你的控制台应用添加对Web API的委派权限，并且确保已经完成权限同意（要么用户首次登录时手动同意，要么管理员进行全局租户同意）。
• 如果Web API只配置了应用权限，那用户身份的令牌自然没有访问权限，会返回401。

3. 令牌缺少必要的权限声明 #

解析令牌时查看scp字段：这个字段代表用户被授予的委派权限，如果scp为空或者没有包含API要求的权限（比如access_as_user），说明权限没有正确配置或同意，API会拒绝访问。

4. Web API的认证配置限制 #

检查Azure Web App的Azure AD认证设置：

• 确认“允许的令牌受众”包含你的Web API的资源ID，避免令牌受众不在允许列表内被拒绝。
• 确认发行者（Issuer）设置正确，和令牌的iss声明匹配。

二、是否必须传入客户端密钥？ #

不是的，你完全可以用交互式用户流调用API，只要解决上面的配置问题就行。两种流的适用场景不同：

• 如果你的控制台应用是后台服务（无用户交互），那客户端凭据流更合适，因为不需要用户登录。
• 如果你的控制台应用需要代表用户执行操作（比如用户需要登录后访问自己的数据），那交互式流才是正确的选择。

三、针对你代码的建议 #

1. 先验证ResourceId是否正确：确保它是Web API的Application ID URI（比如api://your-api-client-id）或者Client ID，而不是其他服务的ID。
2. 检查控制台应用的权限配置：
   • 在Azure AD应用注册中找到你的控制台应用，进入“API权限”页面，添加对Web API的委派权限。
   • 如果是租户内的应用，让管理员进行“管理员同意”，避免每个用户都需要手动同意。
3. 调试令牌：在GetToken方法中，拿到authenticationResult后，打印authenticationResult.AccessToken，解析后检查aud、scp、iss这几个关键声明是否符合预期。

举个例子，如果你的Web API的委派权限是access_as_user，解析后的令牌应该有类似这样的scp字段：

"scp": "access_as_user"

内容的提问来源于stack exchange，提问作者Mihir