Azure AD B2C中Allowed Token Audiences配置未生效问题咨询

我之前也踩过一模一样的坑！当你在Azure Function的「Authentication / Authorization」面板配置Allowed Token Audience后，发现aud（受众）声明验证没按预期工作，大概率是这几个细节没处理对，咱们一步步排查：

1. 搞清楚Allowed Token Audience该填什么 #

你提到JWT的aud值和Client ID一致，但这里有个容易踩的误区：Allowed Token Audience要填的是Azure AD B2C应用的Application ID URI，而非Client ID！

• 你可以在Azure AD B2C的应用注册页面找到这个值，格式一般是https://<你的B2C租户名>.onmicrosoft.com/<客户端ID>，或者你自定义的URI。
• 如果你的JWT里aud确实是Client ID，那大概率是请求令牌时用错了scope参数——应该请求带URI的scope（比如https://<你的B2C租户名>.onmicrosoft.com/api/read），而不是直接把Client ID当scope用。

2. 确认身份提供者选对了 #

一定要检查Function配置面板里的身份提供者是Azure Active Directory B2C，而不是普通的Azure Active Directory。这两者的令牌验证逻辑完全不同，选错了直接会导致aud验证失效。

3. 解码JWT确认aud声明的真实值 #

用jwt.io工具解码你的令牌，仔细核对aud字段：

• 有时候B2C返回的令牌aud会是应用的Application ID URI，而非Client ID，这时候填Client ID肯定匹配不上。
• 如果你的应用是多租户或有自定义受众，还要检查令牌里的azp（授权方）声明是否和配置兼容。

4. 强制刷新配置并重启Function #

Azure的配置更新偶尔会有延迟或缓存问题，试试这两步：

• 先清空Allowed Token Audience的配置，保存；再重新填入正确的值，再次保存。
• 手动重启你的Function App，确保新配置完全生效。

5. 检查代码里的自定义验证逻辑 #

如果你在Function代码里自己加了JWT验证逻辑（比如用[Authorize]属性或自定义中间件），可能会覆盖门户的配置。比如.NET Function里，正确的aud验证应该是这样的：

var validationParameters = new TokenValidationParameters
{
    ValidateAudience = true,
    ValidAudiences = new[] { "https://你的B2C租户名.onmicrosoft.com/你的客户端ID" },
    // 其他必要的验证参数
};

如果以上步骤都试过还是不行，去Azure Portal的Function App日志里找身份验证相关的错误信息，里面会有更具体的提示，比如令牌aud值和配置的允许受众不匹配的细节。

内容的提问来源于stack exchange，提问作者James Wood