ASP.NET Core 3.1 MVC集成Auth0报错求助：Federated clients无法访问非权威租户

问题重现 #

将ASP.NET Core 2.1的Auth0示例升级到3.1后，运行应用出现以下错误：

"error": {
    "message": "Federated clients cannot access non-authority tenants.",
    "oauthError": "invalid_request",
    "type": "request-error"
}

错误原因及修复步骤 #

1. 修正ClientId配置错误 #

原代码错误地将Auth0域名作为ClientId传入，这会被Auth0识别为联邦客户端请求，而非常规应用的认证请求。需将options.ClientId改为Auth0控制台生成的客户端ID（非域名）。

2. 调整默认挑战认证Scheme #

原配置将DefaultChallengeScheme设为Cookie认证Scheme，无法触发Auth0的OAuth认证流程，需改为指定"Auth0"作为默认挑战Scheme。

3. 启用授权码流程的ResponseType #

Auth0推荐使用授权码流程，需显式设置options.ResponseType = "code"。

4. 优化用户信息获取方式（可选） #

原代码通过解析AccessToken获取用户信息，改为使用Auth0官方的用户信息端点，稳定性和兼容性更强。

修改后的Startup.cs关键代码片段 #

// Add authentication services
services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    // 修改默认挑战Scheme为Auth0
    options.DefaultChallengeScheme = "Auth0";
})
.AddCookie()
.AddOAuth("Auth0", options =>
{
    // 替换为Auth0控制台中的客户端ID
    options.ClientId = Configuration["Auth0:ClientId"];
    options.ClientSecret = Configuration["Auth0:ClientSecret"];
    // 启用授权码流程
    options.ResponseType = "code";
    options.Scope.Clear();
    options.Scope.Add("openid");
    options.Scope.Add("profile"); // 可选，获取用户基本信息

    options.CallbackPath = new PathString("/callback");
    options.SaveTokens = true;

    // 从配置读取域名，避免硬编码
    var auth0Domain = Configuration["Auth0:Domain"];
    options.AuthorizationEndpoint = $"https://{auth0Domain}/authorize";
    options.TokenEndpoint = $"https://{auth0Domain}/oauth/token";
    // 添加用户信息端点
    options.UserInformationEndpoint = $"https://{auth0Domain}/userinfo";

    options.Events = new OAuthEvents
    {
        OnCreatingTicket = async context =>
        {
            // 使用用户信息端点获取用户数据，替代解析AccessToken的方式
            var request = new HttpRequestMessage(HttpMethod.Get, context.Options.UserInformationEndpoint);
            request.Headers.Accept.Add(new System.Net.Http.Headers.MediaTypeWithQualityHeaderValue("application/json"));
            request.Headers.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", context.AccessToken);

            var response = await context.Backchannel.SendAsync(request, HttpCompletionOption.ResponseHeadersRead, context.HttpContext.RequestAborted);
            response.EnsureSuccessStatusCode();

            var userData = JsonConvert.DeserializeObject<Dictionary<string, string>>(await response.Content.ReadAsStringAsync());
            foreach (var (type, value) in userData)
            {
                if (!context.Identity.HasClaim(c => c.Type == type))
                {
                    context.Identity.AddClaim(new Claim(type, value));
                }
            }
        }
    };
});

额外配置注意事项 #

• 确保appsettings.json包含正确的Auth0配置项：

  "Auth0": {
    "Domain": "dev-p0bgfnzdg04hpebl.us.auth0.com",
    "ClientId": "你的客户端ID",
    "ClientSecret": "你的客户端密钥"
  }
  

• 检查Auth0控制台中应用的回调URL是否与项目一致（例如https://localhost:xxxx/callback）。

内容的提问来源于stack exchange，提问作者spalMcc