adfs - 使用 ADFS 4.0 和 OpenID Connect 调用 UserInfo 时出现 401

Question

我已经成功创建了一个包含服务器应用程序和 Web API 的新应用程序组，并且 OpenID Connect 协议(protocol)运行正常，没有任何问题，直到我尝试调用 UserInfo。依赖方标识符与服务器应用程序的客户端 ID 相同(根据我在线阅读的示例)。尝试调用 UserInfo 时出现以下错误:

WWW-Authenticate: Bearer error="invalid_token", error_description="MSIS9921: 收到无效的 UserInfo 请求。访问 token 中的受众“microsoft:identityserver:21660d0d-93e8-45db-b770-45db974d432d”不相同作为 UserInfo 依赖方信任“urn:microsoft:userinfo”的标识符。”

任何帮助将不胜感激。

Answer 1

我最近在使用 ADFS 和 ASP.NET Core OpenIDConnect 提供程序时也遇到了此错误。就我而言，禁用 UserInfo 请求完全解决了该问题:

var openIdOptions = new OpenIdConnectOptions
{
  ...
  GetClaimsFromUserInfoEndpoint = false
};

完成此操作后，我仍然拥有应用程序所需的声明 - 电子邮件、SID、名称等。我确信在某些情况下这不起作用，但很高兴知道您可能不需要/根本没有用户信息。我仍然有兴趣了解为什么从 ADFS 返回的 token 不能用于调用/userinfo，以及如何在 ASP.NET OpenIDConnect 提供程序中修复它。