从Dynamics 365插件通过App Service Authentication访问Function App遇授权错误

从你的错误信息和代码来看，核心问题是Azure AD无法验证你提供的客户端密钥（Client Secret），哪怕你确认过密钥是正确的。下面是几个常见的排查方向和解决办法，都是我踩过的坑：

1. 先排查最容易忽略的密钥复制问题 #

很多时候这个错误都是因为密钥复制不完整导致的：

• Azure AD生成的客户端密钥是一次性显示的，复制的时候很容易漏掉开头的/或者结尾的=，甚至不小心多带了空格。
• 建议直接在Azure Portal里重新生成一个新的客户端密钥，用系统自带的「复制」按钮完整复制，不要手动输入或者修改密钥内容。生成后立刻在Postman里测试，排除复制环节的问题。

2. 确认resource参数与应用ID URI完全匹配 #

你的请求里resource填的是https://keyvaultaccess.azurewebsites.net，这个必须和你的Function App对应的AD应用注册里的应用ID URI完全一致：

• 去Azure Portal找到你启用App Service Auth时生成的应用注册，查看「应用ID URI」字段，确保大小写、结尾斜杠（如果有的话）完全一致。
• 如果App Service Auth设置里限制了允许的受众，也要确保这个resource在允许列表内。

3. 检查编码细节是否正确 #

你代码里用Uri.EscapeDataString处理客户端密钥是对的，但有个细节要注意：

• +号在URL编码里容易被解析成空格，Uri.EscapeDataString会把它转成%2B，这是正确的；但如果你用了Uri.EscapeUriString处理密钥就会出问题。
• 可以试试把resource参数也换成Uri.EscapeDataString，确保所有参数的编码逻辑统一。

4. 验证租户ID、客户端ID的关联性 #

• 确认你的token endpoint里的租户IDde194c13-5ff7-4085-91c3-ac06fb869f28，和客户端ID5f315431-e4da-4f68-be77-4e257b1b9295属于同一个Azure AD租户，并且这个客户端ID就是你Function App的App Service Auth配置里对应的应用注册ID。
• 如果你是从快速模式切换到高级模式配置的，要确认快速模式自动生成的应用注册和你现在用的是同一个，避免拿错了其他应用的密钥。

5. 用更简洁的代码测试（避免WebRequest的坑） #

你当前用的WebRequest比较老旧，容易在流处理、编码上出问题，建议换成HttpClient试试，代码更简洁也更少出错：

using System.Net.Http;
using System.Collections.Generic;

// 插件中同步执行的话，可以用.GetAwaiter().GetResult()
var tokenEndpoint = "https://login.microsoftonline.com/de194c13-5ff7-4085-91c3-ac06fb869f28/oauth2/token";
var httpClient = new HttpClient();

var formData = new FormUrlEncodedContent(new List<KeyValuePair<string, string>>
{
    new KeyValuePair<string, string>("client_id", "5f315431-e4da-4f68-be77-4e257b1b9295"),
    new KeyValuePair<string, string>("client_secret", "/oK7nh8pl+LImBxjm+L7WsQdyILErysOdjpzvA9g9JA="),
    new KeyValuePair<string, string>("resource", "https://keyvaultaccess.azurewebsites.net"),
    new KeyValuePair<string, string>("grant_type", "client_credentials")
});

var response = httpClient.PostAsync(tokenEndpoint, formData).GetAwaiter().GetResult();
response.EnsureSuccessStatusCode(); // 状态码非2xx时直接抛出异常
var responseBody = response.Content.ReadAsStringAsync().GetAwaiter().GetResult();

最后一招：查看Azure AD审核日志 #

如果上面的方法都没用，去Azure AD的「审核日志」里搜索对应的错误记录，里面会有更详细的失败原因，比如密钥过期、应用权限不足等，能帮你快速定位问题。

内容的提问来源于stack exchange，提问作者Stanza