Azure AD认证成功后仍遇Microsoft.Rest.Azure.CloudException授权拒绝问题

既然已经成功拿到Azure AD令牌但还是遇到Microsoft.Rest.Azure.CloudException: Authorization has been denied for this request，结合Xamarin iOS的场景，给你几个针对性的排查方向：

• 检查令牌的*受众（Audience）是否匹配目标API
  令牌里的aud声明必须和你要访问的API的Application ID URI*完全一致。你可以在测试环境里把获取到的令牌字符串打印出来，用JWT解析工具（比如本地的离线解析工具）查看aud字段，确认它和API注册时设置的标识符完全匹配——哪怕多一个斜杠或者大小写不对，都会导致权限验证失败。

• 验证令牌中的权限声明是否正确
  因为是移动应用，你应该使用的是Delegated权限，所以要检查令牌里的scp声明是否包含了你需要的权限值。如果是Application权限（一般不推荐移动应用用这个），则要看roles声明。如果没有对应的权限字段，说明获取令牌时没有请求正确的权限范围，要检查AcquireToken系列方法里的scopes参数是否包含了API的权限（格式一般是api://{api-client-id}/permission-name）。

• 确认令牌是否有效且未过期
  查看令牌的exp声明（过期时间戳），确保当前时间在过期时间之前。另外，Xamarin iOS的令牌缓存偶尔会出问题，你可以尝试强制刷新令牌：比如在调用AcquireTokenSilent失败时，切换到AcquireTokenInteractive重新获取最新令牌，再尝试调用API。

• 检查API的权限分配是否完成
  即使你在App Registration里给应用添加了权限，也要确保在Azure AD的Enterprise Applications中，找到你的API应用，然后在Users and groups里给对应的用户或用户组分配了权限——这一步很容易被忽略，没分配的话哪怕令牌里有权限声明，API也会拒绝访问。

• 验证iOS ATS配置是否影响令牌传输
  虽然这不是直接的权限问题，但如果你的目标API不符合Apple ATS（App Transport Security）要求，可能会导致令牌在请求时被篡改或无法正常发送。检查Info.plist里的NSAppTransportSecurity配置，确保允许和目标API的域名通信，比如添加NSExceptionDomains例外（如果API还没启用HTTPS的话，不过生产环境一定要用HTTPS）。

• 查看API端的Azure AD日志
  如果以上都没问题，建议在Azure Portal里开启目标API的Azure Active Directory日志，查看具体的验证失败细节——比如是签名验证失败、令牌版本不兼容，还是某个权限缺失的具体提示，这能帮你快速定位根因。

内容的提问来源于stack exchange，提问作者XamDev