ADFS 4.0：收到无效的客户端凭据答案

【问题标题】：ADFS 4.0: Received invalid Client credentialsADFS 4.0：收到无效的客户端凭据
【发布时间】：2017-06-28 08:53:42
【问题描述】：

任何想法为什么会发生这种情况？我们的 IT 已将 ADFS 从版本 3 更新到版本 4。更新后，我们的 ASP.NET Core 应用程序出现以下错误：

错误代码：

"Unhandled remote failure. (OAuth token endpoint failure: Status: BadRequest;
Body: {\"error\":\"invalid_client\",\"error_description\":\"MSIS9623: Received invalid Client credentials. The OAuth client is not configured to authenticate using passed in client credentials.\"};)"

请求：

 https://.../adfs/oauth2/authorize?client_id=d...4c&scope=&response_type=code&redirect_uri=https%3A%2F%2Flocalhost%3A44377%2F&state=CfDJ8...Og&resource=https%3A%2F%2Flocalhost%3A44377&redirect_url=https%3A%2F%2Flocalhost%3A44377

我试过也试过：

"grant_type"="authorization_code"

有人知道“客户端凭据”在这种情况下是什么意思吗？

【问题讨论】：

这是ADFS 还是OAuth？
带有 oauth2 的 AD FS。 AD FS 提供 OAUTH 和 OpenIDConnect 终结点

标签： asp.net asp.net-core oauth-2.0 adfs

【解决方案1】：

如果发送了“client_secret”，ADFS 4.0 会引发错误。 ADFS 3.0 已忽略该值。

UseOAuthAuthentication 总是发送一个“client_secret”。我的 dirty 解决方案是拦截 http 请求并删除“client_secret”。如果有人有更好的解决方案...

 if (securityService.IsOAuthEnabled)
 {

     HttpClientHandler clientHandler = new HttpClientHandlerInterceptor(){};
     var options = securityService.GetOAuthOptions();
     options.BackchannelHttpHandler = clientHandler;
     app.UseOAuthAuthentication(options);
 }

HttpClientHandlerInterceptor：

 public class HttpClientHandlerInterceptor : HttpClientHandler
 {
     protected override Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
     {
         if (request.Content is FormUrlEncodedContent)
         {
             var x = ((FormUrlEncodedContent) request.Content).ReadAsStringAsync().Result;
             var contenttype = request.Content.Headers.ContentType.MediaType;
             x = x.Replace("client_secret=will+be+ignored&", "");
             request.Content = new StringContent(x, Encoding.UTF8, contenttype);
         }
         return base.SendAsync(request, cancellationToken);
     }
 }

【讨论】：

【解决方案2】：

当您通过向导在 ADFS 端配置应用程序时，您会获得一个 clientId。

这是您在请求中传递的 clientId。

检查您是否传递了正确的 clientId。

同时查看 ADFS 错误日志。

【讨论】：

找到了解决方案。错误为：MSIS9265：收到无效的客户端凭据。在请求中找到“client_secret”查询参数，但未将客户端“620f7...c21”配置为使用客户端密文进行身份验证。

【解决方案3】：

在您的请求字符串中注明：response_type=code

当我从 Startup.Auth.cs 中的 ConfigureAuth 函数中注释掉 UseOAuthe2CodeRedeemer 时，它缓解了手头的问题。

见下文：

        //    code_grant is present in the querystring (&code=<code>).
        //app.UseOAuth2CodeRedeemer(
        //    new OAuth2CodeRedeemerOptions
        //    {
        //        ClientId = AuthenticationConfig.ClientId,
        //        ClientSecret = AuthenticationConfig.ClientSecret,
        //        RedirectUri = AuthenticationConfig.RedirectUri
        //    }
        //);

【讨论】：