Azure Web App配置localhost测试地址后无法访问问题咨询

核心认知错误 #

你首先混淆了Azure应用注册配置项的作用：Azure侧配置的https://localhost只是身份验证完成后的回调跳转地址，Azure不会为你托管、启动本地服务，这个地址能打开的前提是你本地已经启动了对应端口、对应路径的Web服务，单纯在Azure后台填地址不会让这个地址自动可访问。

具体配置漏项/错误点 #

• 重定向URI配置不规范
  • 如果你本地服务没有跑在443默认端口，必须在重定向URI里写全端口号，比如本地服务启动在5001端口，回调路径是认证中间件默认的/signin-oidc，就要配置成https://localhost:5001/signin-oidc，只配置根路径https://localhost会被Azure AD判定为不匹配的回调地址，直接拦截跳转。
  • 重定向URI必须和你选择的应用平台类型匹配：测试Web应用要在「Web」平台分类下添加URI，不要把回调地址填到公共客户端、单页应用或者移动桌面应用的分类下，跨分类添加的URI不会被认证流程认可。
• Scope与权限配置错误
  • 你添加的Data.Read权限如果是自己定义的委托权限，请求Token时必须写全scope的完整路径，格式为api://<你的Application ID URI>/Data.Read，只传Data.Read会被判定为无效scope。
  • 个人租户下配置的权限如果没有点击「授予管理员同意」按钮完成同意流程，请求Token时会抛出权限未获批的错误，哪怕你是租户的全局管理员也需要手动执行这一步。
• 本地环境配置缺失
  • 本地启动HTTPS服务需要绑定受信任的开发证书，未信任证书时浏览器会拦截请求，表现为地址无法打开，使用对应开发框架的开发证书信任命令即可修复，例如.NET环境执行dotnet dev-certs https --trust，Node.js环境按框架提示安装自签名根证书到系统信任列表。
  • 本地服务启动时必须监听你配置的回调地址对应的端口和路径，如果服务只监听http://localhost而没有开HTTPS，或者绑定了其他自定义域名，也会出现跳转后打不开地址的问题。

正确的本地测试流程 #

1. 先编写最小化的测试Web项目，集成对应语言的Azure AD认证SDK，填入你持有的tenant id、client id、client secret，先不考虑Azure侧配置，启动本地服务确认服务本身可以通过浏览器正常访问，记录下服务的HTTPS地址、端口、认证回调路径。
2. 回到Azure应用注册页面，在「身份验证」板块选择Web平台，填入上一步记录的完整回调地址，本地测试阶段可以先勾选「ID令牌（用于隐式流和混合流）」选项减少配置阻碍。
3. 在「公开API」板块确认Data.Readscope已经正确关联到你配置的Application ID URI，在「API权限」板块点击「授予管理员同意」完成权限生效操作。
4. 访问本地服务的登录入口触发认证流程，Azure AD校验通过后会自动跳转到你配置的本地回调地址，完成Token发放流程。

内容的提问来源于stack exchange，提问作者Jay