Azure B2C授权异常：Angular调用ASP.NET 5 Web API返回401未授权

让我帮你一步步拆解这个401未授权的问题——既然你已经通过门户测试确认API本身能正常响应令牌请求，那问题大概率出在Angular获取的令牌细节或者API的认证配置上：

1. 先确认令牌受众（Audience）是否匹配 #

这是最常见的触发点：

• 检查API配置里的jwtConfig.Audience：它必须是Web API在B2C中注册的客户端ID，而不是Angular前端应用的ClientId。你当前用的是Configuration["AzureAdB2C:ClientId"]，要确保这个配置项指向的是API的ClientId，而非前端应用的。
• 检查Angular请求令牌的scope：必须指定API的权限范围，格式类似https://{your-b2c-domain}.onmicrosoft.com/{api-client-id}/access_as_user（或你自定义的scope），不能只请求openid、profile这类通用身份scope。如果scope不对，令牌的aud（受众）字段会是前端应用的ClientId，而非API的，直接导致API验证失败。

2. 修正Issuer（签发者）的验证配置 #

你的ValidIssuer配置格式错误！B2C令牌的签发者格式是：

https://{instance}/tfp/{domain}/{policy-id}/v2.0/

而你当前写的是：

ValidIssuer = $"{Configuration["AzureAdB2C:Instance"]}/{Configuration["AzureAdB2C:TenantId"]}/v2.0/"

这和实际令牌里的iss字段完全不匹配，会直接触发Issuer验证失败。你应该把ValidIssuer改成和Authority一致的结构：

ValidIssuer = $"{Configuration["AzureAdB2C:Instance"]}/tfp/{Configuration["AzureAdB2C:Domain"]}/{Configuration["AzureAdB2C:SignUpSignInPolicyId"]}/v2.0/"

3. 检查令牌签名与元数据配置 #

• 你设置了RequireHttpsMetadata = false，测试环境临时用没问题，但生产环境必须设为true。如果关闭HttpsMetadata，中间件无法自动从B2C获取签名密钥，会导致ValidateIssuerSigningKey = true验证失败。建议测试时也打开这个配置，或者暂时把ValidateIssuerSigningKey设为false排查问题（注意生产环境不能这么做）。
• 其实AddJwtBearer会自动从Authority对应的元数据地址获取签名密钥，你不需要手动设置ValidateIssuerSigningKey = true，可以去掉这个配置，让中间件自动处理。

4. 对比两种令牌的差异 #

用微软的jwt.ms工具解析门户和Angular获取的令牌，重点对比这几个字段：

• aud：是否都是API的ClientId
• iss：格式是否完全一致
• scp：是否包含你授予API的权限
• exp：令牌是否已过期

如果门户的令牌能正常通过验证，而Angular的令牌在这些字段上有差异，就能快速定位问题根源。

5. 检查Angular的MSAL配置 #

确保前端身份验证库（比如MSAL Angular）的核心配置正确：

• clientId是前端应用的ClientId
• authority格式为https://{instance}/tfp/{domain}/{policy-id}/
• scopes数组必须包含API的权限范围，比如：

  scopes: ['https://yourtenant.onmicrosoft.com/yourapiclientid/api.read']
  

快速验证小技巧 #

如果还是找不到问题，可以在API的JwtBearer配置里添加事件日志，查看具体的验证失败原因：

jwtConfig.Events = new JwtBearerEvents
{
    OnAuthenticationFailed = context =>
    {
        Console.WriteLine($"验证失败原因：{context.Exception.Message}");
        return Task.CompletedTask;
    },
    OnTokenValidated = context =>
    {
        Console.WriteLine("令牌验证成功");
        return Task.CompletedTask;
    }
};

内容的提问来源于stack exchange，提问作者Genc Hani