为何传统ASP.NET配置Azure AD SSO需Client Secret，ASP.NET Core无需？

问题背景 #

• 在Entra Portal应用注册快速启动指南中，发现传统ASP.NET示例运行时要求提供Client Secret，但文档和示例README里完全没提这个必填项；而ASP.NET Core的同类示例不用Client Secret就能正常运行。想搞清楚两者差异的原因，以及是什么决定应用成为Confidential Client。
• 仅用Azure服务做服务器端Web应用的身份认证，没用到Microsoft Graph或其他服务。

代码差异对比 #

下载示例的Startup.cs代码 #

public void Configuration(IAppBuilder app)
{
        app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);

        app.UseCookieAuthentication(new CookieAuthenticationOptions());
        OwinTokenAcquirerFactory factory = TokenAcquirerFactory.GetDefaultInstance<OwinTokenAcquirerFactory>();

        app.AddMicrosoftIdentityWebApp(factory);
        factory.Services
            .Configure<ConfidentialClientApplicationOptions>(options => { options.RedirectUri = "https://localhost:44368/"; })
            .AddMicrosoftGraph()
            .AddInMemoryTokenCaches();
        factory.Build();
}

Entra Portal快速启动页面的Startup.cs代码 #

public void Configuration(IAppBuilder app)
{
app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);

app.UseCookieAuthentication(new CookieAuthenticationOptions());
app.UseOpenIdConnectAuthentication(
    new OpenIdConnectAuthenticationOptions
    {
        // Sets the client ID, authority, and redirect URI as obtained from Web.config
        ClientId = clientId,
        Authority = authority,
        RedirectUri = redirectUri,
        // PostLogoutRedirectUri is the page that users will be redirected to after sign-out. In this case, it's using the home page
        PostLogoutRedirectUri = redirectUri,
        Scope = OpenIdConnectScope.OpenIdProfile,
        // ResponseType is set to request the code id_token, which contains basic information about the signed-in user
        ResponseType = OpenIdConnectResponseType.CodeIdToken,
        // ValidateIssuer set to false to allow personal and work accounts from any organization to sign in to your application
        // To only allow users from a single organization, set ValidateIssuer to true and the 'tenant' setting in Web.config to the tenant name
        // To allow users from only a list of specific organizations, set ValidateIssuer to true and use the ValidIssuers parameter
        TokenValidationParameters = new TokenValidationParameters()
        {
            ValidateIssuer = false // Simplification (see note below)
        },
        // OpenIdConnectAuthenticationNotifications configures OWIN to send notification of failed authentications to the OnAuthenticationFailed method
        Notifications = new OpenIdConnectAuthenticationNotifications
        {
            AuthenticationFailed = OnAuthenticationFailed
        }
    }
);
}

后续测试结果 #

改用Portal提供的代码后，不用Client Secret就能完成认证（注意Authority必须是包含租户ID的URL，比如https://login.microsoftonline.com/{tenantID}/v2.0），但原示例里的Microsoft Graph功能没法正常使用；尝试混合两种方案的代码时，还是会出现“Confidential Client需Client Secret”的错误。

疑问解答 #

1. 下载示例与快速启动指南代码差异的原因？ #

• 下载示例基于Microsoft Identity Web (MIW) OWIN库开发，这个库默认封装了Confidential Client的配置逻辑，还集成了Microsoft Graph调用能力——调用Graph需要获取访问令牌，而Confidential Client模式下必须用Client Secret（或证书）证明应用身份，才能完成令牌交换，所以必须配置。
• 快速启动页面的代码是原生OWIN OpenID Connect配置，只实现了最基础的用户身份认证（OpenID Connect授权码流的身份验证环节），没涉及后续的API调用，只需要验证ID Token就能完成登录，因此不需要Client Secret。

2. 传统ASP.NET MVC应用的推荐配置方案是哪一种？ #

• 如果只需要用户身份认证，不调用任何API：推荐用快速启动页面的原生OWIN配置，不用Client Secret，配置更简洁，能满足基础登录需求。
• 如果后续需要调用Microsoft Graph或其他受保护API：推荐用MIW OWIN库的方案，此时必须配置Client Secret（或证书），因为要通过Confidential Client模式获取API访问令牌。

3. ASP.NET Core应用是否最好配置Client Secret？若使用，如何处理密钥过期问题？ #

• ASP.NET Core的服务器端Web应用属于Confidential Client，只要涉及调用受保护API（比如Graph），就必须配置Client Secret或证书；如果仅做身份认证，理论上可以不用，但生产环境更推荐配置——哪怕不用API，用Client Secret能提升应用身份验证的安全性，避免恶意请求伪造授权码交换。
• 处理密钥过期的方案：
  • 用证书代替Client Secret：证书安全性更高，有效期可以设得更长，避免频繁更新，在Entra Portal上传证书作为应用凭据即可。
  • 开启Client Secret自动轮转：在Entra Portal的应用注册凭据设置里打开自动轮转，系统会在密钥到期前自动生成新密钥，同时保留旧密钥一段时间确保平滑过渡。
  • 配合配置管理工具：把Client Secret存在Azure Key Vault这类安全存储中，应用从这些服务动态获取密钥，更新密钥时不用修改应用代码或配置文件。

内容的提问来源于stack exchange，提问作者davrob01