.NET Core 2.0 Web API本地AAD JWT验证正常，部署后401未授权

这种本地跑起来顺风顺水，一部署到测试服务器就报401的问题真的闹心，我之前踩过不少AAD授权的部署坑，给你梳理几个大概率的服务器端排查方向：

AAD令牌验证需要调用微软的身份服务端点（比如login.microsoftonline.com），如果测试服务器在企业防火墙或代理后面，很可能被拦截了出站请求。

• 可以在服务器上用命令测试连通性：

  Invoke-WebRequest https://login.microsoftonline.com
  

  或者Linux服务器用curl https://login.microsoftonline.com，看能不能正常返回内容。
• 如果服务器需要代理才能访问外网，记得在API的Startup.cs里给HttpClient配置代理，不然令牌验证时会连不上AAD服务器。

AAD令牌的有效性严格依赖时间戳，如果服务器系统时间和标准UTC时间偏差超过5分钟，令牌会被直接判定为过期或未生效。

• 去服务器控制面板（或用命令w32tm /query /status）检查时间同步状态，确保和NTP服务器对齐。

虽然你说配置文件没问题，但还是要确认测试环境的AAD应用注册有没有适配部署后的场景：

• 检查API应用注册的受众（Audience），是不是正确指向了客户端应用的ID，有没有把测试服务器的域名加入到“已批准的客户端应用”列表？
• 本地测试用的是localhost，部署后API的Base URL变了，要确认AAD应用注册里的“应用ID URI”和“回复URL”有没有更新成测试服务器的地址。

• .NET Core 2.0已经停止官方支持了，先确认测试服务器上有没有安装正确的2.0版本运行时，用dotnet --version命令检查。
• AAD现在强制要求TLS 1.2及以上，有些老服务器可能默认启用了旧版本TLS，导致验证失败。可以在API的Program.cs开头加一行强制启用TLS 1.2：

  System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;
  

最直接的方式是在测试服务器上开启授权相关的Debug日志，定位到底是哪一步出问题：
在appsettings.json里添加日志配置：

"Logging": {
  "LogLevel": {
    "Microsoft.AspNetCore.Authentication": "Debug",
    "Microsoft.IdentityModel": "Debug"
  }
}

然后查看日志，比如是签名验证失败、受众不匹配，还是无法获取AAD的公钥？这些细节能直接帮你锁定问题。

如果是用IIS托管API，还要检查：

• IIS的“身份验证”设置里，有没有禁用匿名身份验证？避免和AAD的授权逻辑冲突。
• 应用程序池是不是用的.NET Core托管模式（而不是经典模式），确保ASP.NET Core模块能正确传递请求头里的令牌。
• 检查web.config里的AspNetCoreModule配置，确保是正确的托管模式：

  <aspNetCore processPath="dotnet" arguments=".\YourApi.dll" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" hostingModel="InProcess" />
  

内容的提问来源于stack exchange，提问作者Eden