Azure App Service调用OAuth refresh_token返回Bad Request错误求助

该报错本质是Azure AD条件访问（CA）策略对请求来源的校验不通过，本地和Postman请求符合策略要求，而Azure App Service的运行环境触发了拦截规则，可按以下顺序排查：

• 校验条件访问策略规则
  重点核对三个核心规则配置：
  • 位置条件：确认策略是否仅允许你本地所在的公网IP段访问，未将App Service的所有出站IP加入允许列表。你可以在Azure门户的App Service实例「属性」面板拿到全部可能的出站IP，将所有IP添加到CA策略的允许位置组即可。
  • 客户端应用类型条件：确认策略是否只允许公共客户端（Postman、桌面客户端等）调用，拦截了机密客户端/Web应用类型的请求。部署在App Service的Web API属于机密客户端，需要在策略中放开该类客户端的访问权限。
  • 设备合规性条件：确认策略是否要求访问设备必须加入域、完成合规注册。你本地调试的设备符合企业设备要求，而App Service运行在Azure基础设施上不属于企业注册设备，这种情况需要给你调用OAuth所用的服务主体配置CA策略豁免。
• 检查refresh_token有效性
  如果你使用的是本地调试阶段生成的refresh_token，硬编码存到了App Service配置中，refresh_token会和生成时的请求源、设备、位置信息绑定，在App Service环境调用时会触发校验失败。建议你在App Service运行环境下重新走完整授权流程，生成新的refresh_token替换原有配置。
• 核对服务主体一致性
  如果你给App Service开启了系统/用户分配的托管身份，确认你调用令牌接口时用的client_id和本地调试用的是同一个服务主体，不要误用了托管身份的ID发起请求。
• 精准定位拦截规则
  可以直接查看Azure AD登录日志，筛选对应时间点、对应服务主体的失败登录记录，日志会明确标注触发拦截的具体条件访问策略，直接修改对应策略即可解决问题。

内容的提问来源于stack exchange，提问作者Gauls