Azure B2C无法获取AccessToken：存在IdToken但无范围权限

嘿，我之前在搭建Azure B2C的客户端/服务器架构时也碰到过一模一样的问题——IdToken正常但AccessToken为空，导致TaskWebApp.Controllers.TaskController.cs里的代码因为拿不到有效令牌失败。咱们一步步来排查解决：

1. 先搞清楚核心差异：IdToken vs AccessToken #

Azure B2C里，IdToken是用来认证用户身份的，受众（aud字段）是你的客户端应用ID；而AccessToken是用来访问受保护后端资源的，受众是后端API的应用ID/URI。你碰到的问题大概率是客户端请求令牌时没有指定正确的后端资源范围，导致B2C只返回了IdToken。

2. 检查客户端请求的资源范围 #

调用AcquireTokenSilentAsync时，必须传入后端API的授权范围，而不是客户端自己的Client ID。比如：

// 错误示例：只传客户端ID，只会拿到IdToken
var result = await _app.AcquireTokenSilentAsync(new[] { "your-client-id" }, accounts.FirstOrDefault());

// 正确示例：传入后端API的自定义范围
var result = await _app.AcquireTokenSilentAsync(
    new[] { "https://your-b2c-tenant.onmicrosoft.com/backend-api/tasks.read" }, 
    accounts.FirstOrDefault());

这里的范围必须和你在Azure Portal里给后端API注册的自定义范围完全一致，大小写、路径都不能错。

3. 确认客户端应用的API权限配置 #

在Azure Portal里：

• 找到你的客户端应用（TaskWebApp），进入API权限选项卡
• 确保已经添加了后端API的权限范围（比如上面的tasks.read）
• 如果是管理员用户，记得点击授予管理员同意（否则普通用户可能无法获取到权限）

4. 检查后端API的应用注册配置 #

• 后端API的应用注册里，必须设置应用ID URI（比如https://your-b2c-tenant.onmicrosoft.com/backend-api），这是AccessToken受众的核心标识
• 确保在认证选项卡中，没有开启“允许公共客户端流”（如果你的后端是机密API的话）

5. 修复AcquireTokenSilentAsync的调用逻辑 #

静默获取令牌失败的情况很常见（比如缓存过期、没有有效账户），要处理MsalUiRequiredException并触发交互式登录：

private async Task<string> GetValidAccessTokenAsync()
{
    var accounts = await _app.GetAccountsAsync();
    var userAccount = accounts.FirstOrDefault();

    if (userAccount == null)
    {
        // 无有效用户，直接触发登录
        var interactiveResult = await _app.AcquireTokenInteractiveAsync(
            new[] { "https://your-b2c-tenant.onmicrosoft.com/backend-api/tasks.read" });
        return interactiveResult.AccessToken;
    }

    try
    {
        // 尝试静默获取令牌
        var silentResult = await _app.AcquireTokenSilentAsync(
            new[] { "https://your-b2c-tenant.onmicrosoft.com/backend-api/tasks.read" },
            userAccount);
        return silentResult.AccessToken;
    }
    catch (MsalUiRequiredException)
    {
        // 静默失败，触发交互式登录
        var interactiveResult = await _app.AcquireTokenInteractiveAsync(
            new[] { "https://your-b2c-tenant.onmicrosoft.com/backend-api/tasks.read" });
        return interactiveResult.AccessToken;
    }
}

6. 调试令牌内容验证 #

你可以用JWT解析工具查看IdToken的内容：

• 检查aud字段是不是客户端应用ID（这是正常的）
• 检查scp或roles字段有没有包含你请求的后端API范围，如果没有，说明你的范围请求有问题，Azure B2C没有颁发对应的AccessToken

总结 #

最常见的原因就是没有指定正确的后端API范围，导致Azure B2C认为你只需要身份认证（IdToken），不需要访问资源的令牌（AccessToken）。按照上面的步骤排查，应该能解决问题。

内容的提问来源于stack exchange，提问作者TomSelleck