Azure AD应用注册客户端凭据问题及ASP.NET Core应用配置咨询

1. Azure AD应用没有客户端凭据是否正常？ #

正常。你创建的ASP.NET Core MVC Web应用默认采用OIDC授权码流程实现用户登录。在该流程中，用户完成登录后，Azure AD会将授权码发送到你注册的回调地址（即配置里的CallbackPath: "/signin-oidc"），应用再通过授权码换取访问令牌——此过程中Azure AD会验证回调地址是否与应用注册的重定向URI匹配，无需额外客户端凭据验证应用身份。因此Visual Studio默认完成的配置里，没有客户端凭据是该场景下的正常情况。

2. 客户端密钥与证书的区别 #

• 客户端密钥（Client Secret）：
  • 本质是一串生成的字符串密码，获取和配置简单，适合开发测试环境或低安全要求的场景。
  • 风险较高，一旦泄露可能导致应用被冒充，需妥善保管并定期轮换。
• 证书：
  • 采用非对称加密的公钥/私钥对，Azure AD存储公钥，应用仅持有私钥，私钥不会在网络中传输，安全性远高于客户端密钥，适合生产环境。
  • 配置相对复杂，需将证书部署到应用服务器，或通过证书指纹（Thumbprint）、文件路径等方式指定给应用。
  • 有明确的有效期，支持续期管理，更符合企业级安全合规要求。

3. 添加客户端凭据后是否需要更新ASP.NET应用？ #

取决于添加凭据的用途：

• 若要强化授权码流程的应用身份验证：需在appsettings.json的AzureAd节点中添加对应配置：
  • 客户端密钥：添加"ClientSecret": "你的密钥值"
  • 证书：添加证书相关配置，例如：

    "ClientCertificates": [
      {
        "SourceType": "Store",
        "StoreLocation": "CurrentUser",
        "StoreName": "My",
        "Thumbprint": "证书指纹"
      }
    ]
    

  同时确保Program.cs中配置身份验证服务时，正确加载这些凭据（ASP.NET Core 6+默认会自动读取配置，自定义逻辑需按需调整）。
• 若后续需要让应用调用受Azure AD保护的API（如Microsoft Graph）：必须添加客户端凭据并更新应用配置，因为应用需要通过凭据获取应用令牌来访问API。
• 若仅用于用户登录的基础场景：可以不添加客户端凭据，现有配置已能正常运行。

内容的提问来源于stack exchange，提问作者John John