Angular+.NET Core配置MSAL支持全微软账号认证时报401问题排查

开发者阿泽

2026-9-27

问题排查与修复方案

根因定位

你当前使用的AzureADDefaults.BearerAuthenticationScheme来自已废弃的Microsoft.AspNetCore.Authentication.AzureAD.UI类库，该类库原生不兼容个人微软账号（MSA）场景的令牌校验逻辑，无法正确识别api://前缀的受众值。
个人微软账号请求自定义API获取的访问令牌，受众默认存在两种格式：带api://前缀的完整值、仅GUID的客户端ID值，你当前配置仅填写了带前缀的ClientId，导致校验匹配失败，返回401。

修复步骤

替换认证类库
卸载项目中已废弃的Microsoft.AspNetCore.Authentication.AzureAD.UI包，安装微软官方当前维护的Microsoft.Identity.Web包，该包原生支持所有微软账号场景的认证授权适配。
修改API端认证配置
将Startup类中的认证服务注册逻辑替换为如下代码：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(Configuration.GetSection("AzureActiveDirectory"));

更新AppSettings配置
新增Audience字段兼容两种受众格式，修改后配置如下：

"AzureActiveDirectory": {
  "Instance": "https://login.microsoftonline.com/",
  "TenantId": "common",
  "ClientId": "fd51sdf-e4sdf-4e07-9dc9-",
  "ClientSecret": "arMTdfdfdwZTf",
  "Audience": "api://fd51sdf-e4sdf-4e07-9dc9-"
}

可选：适配多 issuer 校验
如果调整后仍有401报错，可显式关闭发行者校验（适配MSA和多租户账号不同发行者的场景），修改配置如下：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(options =>
    {
        Configuration.Bind("AzureActiveDirectory", options);
        options.TokenValidationParameters.ValidateIssuer = false;
    },
    options => Configuration.Bind("AzureActiveDirectory", options));