VS创建的Azure AD应用无证书和密钥，ASP.NET Core MVC认证是否可行？

首先明确核心结论：仅实现用户登录的MVC应用，本地开发阶段默认不需要手动添加客户端密钥或证书。

原因说明 #

Visual Studio创建Azure AD认证的MVC应用时，会自动配置应用使用授权码流，同时启用了客户端断言机制——它会借助本地开发环境的内置证书（由VS生成）完成客户端身份验证，无需手动在Azure门户添加密钥或证书。你可以检查appsettings.json的AzureAd节点，如果包含ClientCertificates配置，或者代码中使用AddMicrosoftIdentityWebApp时自动处理了客户端断言，就说明身份验证的客户端凭据已经通过内置机制搞定。

需要手动配置证书/密钥的场景 #

• 生产环境部署：本地开发证书无法在生产环境使用，此时需要在Azure门户上传生产环境的证书，或创建客户端密钥，并同步更新appsettings.json中的对应配置。
• 调用受保护的API：如果你的MVC应用需要调用其他Azure AD保护的API，必须配置客户端凭证（证书或密钥），因为这类场景需要用到客户端凭据流或扩展的授权码流。

验证当前配置有效性的方法 #

启动本地应用后尝试登录Azure AD账号：

• 若能成功登录并访问带有[Authorize]特性的页面，说明当前配置已满足身份验证需求，无需额外操作。
• 若登录时出现invalid_client这类客户端身份验证错误，再考虑补充配置客户端凭证。

内容的提问来源于stack exchange，提问作者John John