IdentityServer4受众验证失败问题咨询（Angular+.NET Core API）

算力阿峰

2026-5-19

解决IdentityServer4受众验证失败的问题

咱们来拆解一下你遇到的这个受众验证问题，核心原因其实是访问令牌的aud字段和API预期验证的受众不匹配，背后是IdentityServer4的配置逻辑在起作用：

问题根源

你提到Angular客户端的clientId是web，解码JWT后aud只有web——这是因为当SPA客户端请求令牌时，如果没有正确配置指向API资源，IdentityServer4会默认把客户端ID设为令牌的受众。

你创建了名为api的API资源，但调用.NET Core API时却报错“期望受众为web，实际获取到api”（这里可能你记错了错误提示的表述？正常逻辑应该是API期望api但令牌给的是web）。当你把ApiName改成web后验证通过，本质是让API的验证受众和令牌的aud（web）匹配上了，但这其实是绕开了问题，不是正确的做法。

正确的配置方案

要让令牌的aud正确指向api，同时API验证这个受众，需要调整三处配置：

1. 修正IdentityServer4的API资源配置

确保API资源的Name明确设置为api，并关联对应的权限范围：

public static IEnumerable<ApiResource> GetApiResources()
{
    return new List<ApiResource>
    {
        new ApiResource("api", "我的业务API")
        {
            Scopes = { "api.read", "api.write" } // 这里填你实际要用的权限范围
        }
    };
}

2. 调整Angular客户端的配置

确保客户端的AllowedScopes包含API的权限范围，同时配置适合SPA的授权类型（授权码流+PKCE）：

public static IEnumerable<Client> GetClients()
{
    return new List<Client>
    {
        new Client
        {
            ClientId = "web",
            ClientName = "Angular单页应用",
            AllowedGrantTypes = GrantTypes.Code,
            RequirePkce = true,
            RedirectUris = { "https://你的Angular域名/callback" },
            PostLogoutRedirectUris = { "https://你的Angular域名/logout" },
            AllowedScopes = { "openid", "profile", "api.read", "api.write" }, // 必须包含API的scope
            AllowOfflineAccess = true,
            RequireClientSecret = false // SPA不需要客户端密钥
        }
    };
}

3. 修正.NET Core API的验证配置

让API明确验证api这个受众，并指向你的IdentityServer4实例：

services.AddAuthentication("Bearer")
    .AddJwtBearer("Bearer", options =>
    {
        options.Authority = "https://你的IdentityServer4域名";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateAudience = true,
            ValidAudience = "api" // 这里必须和API资源的Name完全一致
        };
    });

你的疑问解答

为什么把ApiName改成web就正常？
因为改完后API的验证受众变成了web，刚好和令牌默认的aud（客户端ID）匹配，所以验证通过。但这种做法不推荐，因为API应该有独立的受众标识，避免和客户端ID混淆，后续扩展多个API时会出问题。
为什么JWT里的scopes符合预期，但aud还是web？
scope代表令牌拥有的权限，而aud代表令牌的目标受众（也就是这个令牌是给哪个服务用的）。即使你请求了API的scope，如果客户端没有正确关联到API资源，IdentityServer4还是会默认把客户端ID设为aud，不会自动切换到API资源名称。
能不能让令牌的aud同时包含客户端和API？
理论上可以通过配置IncludeAllClaimsForUser或AlwaysSendClientClaims实现，但更推荐的做法是分开使用令牌：客户端用ID令牌（id_token）来处理登录状态，API用访问令牌（access_token），访问令牌的aud只设置为API资源名称，这样更符合OAuth2的设计规范。

内容的提问来源于stack exchange，提问作者cb3431