Azure Active Directory OAuth 2.0 授权给出错误请求

Question

请求授权码时，如果state url参数有以下值，https://login.microsoftonline.com/oauth2/authorize给了我一个错误的请求。

state=%3C%3CMULE_EVENT_ID%3D0-6cadfe22-e9ea-11e6-99ff-205120524153%3E%3E

如果我删除编码值:<<和>> ，效果很好。目前我有一些限制，无法删除这些值。

在 documentation表示“state”是请求中包含的值，该值也将在 token 响应中返回。 它可以是您希望的任何内容的字符串。

Answer 1

尽管 https://www.rfc-editor.org/rfc/rfc6749#appendix-A.5 中允许使用这些字符，但双 << >> 在语义上似乎不正确。 (引用该字段的 ABNF 语法，本质上是所有可打印字符，包括空格、VSCHAR、https://www.rfc-editor.org/rfc/rfc5234)。

但是，当我们查看状态字段的预期用途时，它用于从服务发回 token ，以便您的应用程序能够验证本地状态以避免 CSRF 攻击。

在大多数情况下，短字符串就足够了，如果保持字符串短，您可能会帮自己一个忙，从而节省线路上的字节和额外的解析开销。

这里有关于使用 oauth2 端点的很好的概述(诚然，与 Bing Ads 一起使用，但原则和建议适用于这种情况):

https://msdn.microsoft.com/en-us/library/bing-ads-user-authentication-oauth-guide.aspx

如果我能找到 state 字段的确切限制，我将更新我的答案。