Azure AD B2C/Next.js/ASP.NET Core6 PKCE调用API报401问题

按优先级从高到低排列，均为可直接触发401的明确问题：

• 前端Authorization头格式错误
  你在fetch请求中写的是Authorization: \Bearer ${JSON.stringify(accesstoken)}`，JSON.stringify会给token字符串外层额外包裹一层双引号，传给后端的凭证格式完全不符合Bearer认证规范，JWT Bearer中间件第一步解析就会失败。直接去掉JSON.stringify`调用，传入原始的accesstoken字符串即可。
• 后端Scope校验配置路径不匹配
  控制器上的[RequiredScope(RequiredScopesConfigurationKey = "AzureAd:Scopes")]指定读取的配置节点是AzureAd:Scopes，但你appsettings.json里的B2C配置全部放在AzureAdB2C节点下，运行时根本读不到允许的scope值，scope校验永远无法通过。两种改法二选一即可：
  • 把特性的配置key修改为"AzureAdB2C:Scopes"
  • 直接硬编码允许的scope：[RequiredScope("access_as_user")]
• CORS中间件未正确接入（次要问题，走Next.js代理时暂不触发，建议提前修复）
  你只在服务层添加了CORS策略定义，没有在请求管道中启用CORS，且中间件顺序错误。需要在app.UseSwaggerUI()之后（非开发环境就是app.UseHttpsRedirection()之后）、app.UseAuthentication()之前加上app.UseCors("default");，否则后续直接跨域请求API时会被拦截。

• 本地HTTP环境不会导致401：JWT令牌校验本身不依赖HTTPS，你当前开发环境分支下根本没启用HTTPS重定向，不会因为协议问题拦截请求。本地HTTPS证书错误只需要执行dotnet dev-certs https --trust信任开发证书即可解决，和当前401问题无关。
• Next.js全栈特性不会导致认证异常：你已经将token获取逻辑延迟到InteractionStatus.None状态在浏览器侧执行，Next.js的rewrites规则默认会透传所有请求头（包括Authorization）给后端API，不会出现凭证丢失的问题。

改完上述问题如果还是报错，可以通过两步快速定位根因：

1. 本地解析拿到的access token（不要把token传到公网解析站点），检查三个核心声明：

• aud（受众）必须等于你API的ClientId：8a1bc000-2000-4000-a000-d3156a663000
• scp（权限范围）必须包含access_as_user
• iss（签发者）必须匹配你B2C租户的格式：https://helloworld.b2clogin.com/<你的租户ID>/v2.0/

2. 打开后端认证调试日志，在appsettings.json里加如下配置，重启API后看控制台输出，会明确打印401的具体失败原因（是token格式错误、受众不匹配、签发者不匹配还是scope校验失败）：

"Logging": {
  "LogLevel": {
    "Default": "Information",
    "Microsoft.AspNetCore.Authentication": "Debug"
  }
}

内容的提问来源于stack exchange，提问作者J. Reku