c# - 使用不记名 token 时，带有 AD 身份验证的 Azure 函数会导致 401 Unauthorized

Question

我有一个非常简单的 C# Azure 函数，我已为其设置了 Azure AD Auth。我刚刚使用 Express 设置在函数配置中创建了应用程序注册。

public static class IsAuthenticated
{
    [FunctionName("IsAuthenticated")]
    public static async Task<IActionResult> Run(
        [HttpTrigger(AuthorizationLevel.Anonymous, "get", "options", Route = null)]
        HttpRequest req,
        ILogger log)
    {
        return new OkObjectResult("You are " + req.HttpContext.User.Identity.Name);
    }
}

当我在浏览器中访问该功能时，一切都会按预期工作(如果未登录，我必须登录并重定向到我的 API)。但是，如果我尝试在需要承载 token 的任何地方访问我的函数，我会收到 401 Unauthorized 错误。更奇怪的是，我也无法执行 Azure 门户中的函数。

但是 token 被毫无问题地获取并添加到请求中:

我尝试了几种不同的方法来解决这个问题。首先，我认为这可能是一个 CORS 问题(因为我也遇到过一些问题)，只是将 CORS 设置为接受 *，但没有任何改变。

然后，我已将 API 登录端点添加到重定向中，并尝试设置隐式授权以接受访问 token ，但它仍然不起作用。

有什么是我忽略的吗？应用程序注册快速配置不应该只与 azure 功能一起使用吗？

编辑:

按照@thomas-schreiter的建议将我的函数应用程序的URL放入重定向中没有改变任何东西(我已经尝试了屏幕截图中的配置，并且只是将每个值单独放置)。

编辑2:

我现在也尝试以手动方式获取不记名 token with Postman ，但在调用 API 时我仍然遇到 401。

Answer 1

2020-05-12更新:根据ambrose-leung的回答further below您现在可以添加自定义发行者 URL，这可能使您能够使用 v2 token 。我自己还没有尝试过，但也许这会对将来的人有用。 (如果他的回答对您有帮助，请给他点赞，或者留下评论😉)

<小时/>

这花了很长时间才弄清楚，并且官方文档中对此的信息很少。

但事实证明，问题是 Azure Functions 不支持 oauth2/v2.0/Azure API 生成的承载 token 。由于门户使用这些(如果您的 AD 支持它们)，您就无法在其中运行该功能。

这也解释了为什么我的 postman 请求不起作用，因为我也在使用 v2 api。切换到 v1 后，我可以访问我的 API(当您使用集成身份验证功能时，Postman 不允许您添加资源 ID，因此我必须切换为手动处理所有内容)。

之后我们意识到，如果您正在编写 JS 客户端(在我的例子中是 Angular)，则也无法使用 MSAL。因此，一种替代方案是 ADAL，其中 Angular 实现看起来有点尴尬。因此，我决定使用 angular-oauth2-oidc，这又花了一个小时的时间进行修改，使其能够与 Azure AD 很好地配合。

但毕竟我终于可以访问我的 API 了。

我真的不明白为什么您不允许用户使用 Azure AD v2 token 访问 Azure Function Apps，但至少这应该有更好的记录。但不管怎样，我终于可以 sleep 了。

编辑:在我为此提出问题后，他们添加了一条注释，指出 Azure Functions 不支持 v2，希望能让其他人的生活更轻松。

https://learn.microsoft.com/en-us/azure/app-service/configure-authentication-provider-aad