Azure App Service启用Azure AD认证后移动端HTTP 401权限问题

Hey，我之前处理过几乎一模一样的问题，结合你的描述，咱们从几个核心点逐步排查：

1. 确认令牌的受众（Audience）是否匹配 #

这是最常见的坑！当你在App Service层面启用AAD认证时，默认情况下，App Service的认证系统只接受指向自身AAD应用的令牌，而不是你单独注册的WebAPI应用的令牌。

你可以把拿到的access token复制到jwt.ms里解码，查看aud字段的值：

• 如果这个值是你WebAPI的AAD注册应用Client ID，那问题就出在这——你需要请求App Service对应的AAD应用的令牌，而不是WebAPI的。
• 如果你确实想让WebAPI的令牌被App Service接受，那要在App Service的认证设置里，找到“允许的令牌受众”，添加WebAPI的Client ID进去。

2. 检查令牌里的权限是否有效 #

解码令牌时，查看scp字段（针对Delegated权限），确认里面包含user_impersonation权限。如果没有，很可能是你没给Native App的权限授予管理员同意——对于单租户场景，Delegated权限需要管理员手动同意后，令牌里才会包含这个权限。

3. 验证Authorization头的格式 #

确保你的请求头严格符合格式：

Authorization: Bearer <你的完整access token>

注意Bearer后面必须有一个空格，令牌不能有截断、多余的空格或者换行符。Postman里有时候会在复制令牌时带多余字符，iOS代码里拼接字符串时也可能出错，比如有没有把id token当成access token用了？

4. 确认App Service的AAD认证配置 #

• 检查认证设置里的“租户类型”是否正确：如果你的Native App是在同一个租户里，就选“当前租户”；如果是多租户，要对应设置。
• 检查“未认证请求的操作”是否设为“要求认证”——如果设成了“允许匿名”，可能会导致令牌校验逻辑异常。

5. 测试用App Service的AAD应用ID请求令牌 #

如果前面的排查都没问题，你可以尝试修改Native App和Postman里的请求目标：把资源ID改成App Service对应的AAD应用的Client ID，重新获取令牌后再请求API。如果这时候能成功，就说明之前的令牌受众不对。

内容的提问来源于stack exchange，提问作者Alex Mourinho