如何在C#中通过配置参数设置OIDC客户端认证方式（兼容多IDP）

问题背景 #

我们基于Microsoft.AspNetCore.Authentication实现了支持Google、Okta、Azure、OneLogin等主流身份提供商（IDP）的OIDC系统，对接某客户自定义IDP时遇到认证失败问题：

• 该客户IDP的元数据明确仅支持client_secret_basic认证方式：

"token_endpoint_auth_methods_supported": [
"client_secret_basic"
]

• 对接时返回错误：

Message contains error: 'invalid_client', error_description: 'client authentication failed', error_uri: 'error_uri is null'.

• 测试环境切换OneLogin的认证方式设置时，也出现相同错误。

尝试配置OpenIdConnectOptions.AuthenticationMethod属性后发现无法解决问题，原因如下：

1. 该属性对应OpenIdConnectRedirectBehavior枚举，仅控制跳转行为（GET/POST），与OIDC客户端认证方式无关
2. 枚举仅包含2个选项，无法覆盖OIDC标准的多种认证方式
3. 枚举值与OIDC标准中的认证方式名称（如client_secret_basic）不匹配
4. 默认值已是RedirectGet，但OneLogin使用POST方式可正常工作，切换为GET则报错

解决方案：正确配置客户端认证方式 #

核心配置项：ClientCredentialStyle #

ASP.NET Core的OpenIdConnect中间件中，控制客户端认证方式的正确配置项是OpenIdConnectOptions.ClientCredentialStyle，它对应OIDC标准中的两种基础认证方式：

• ClientCredentialStyle.AuthorizationHeader：将客户端ID和密钥通过HTTP Basic Auth放在Authorization请求头中，对应client_secret_basic
• ClientCredentialStyle.PostBody：将客户端ID和密钥作为表单参数放在请求体中，对应client_secret_post（默认值）

代码配置示例 #

1. 根据IDP元数据自动适配

中间件默认会尝试从IDP元数据的token_endpoint_auth_methods_supported字段自动选择认证方式，若遇到自定义IDP元数据解析异常，可手动读取并设置：

foreach (var idp in idProviders)
{
    builder.AddOpenIdConnect(idp.Name, idp.DisplayName, async options =>
    {
        mapper.Map(idp.Options, options);
        options.ResponseType = OpenIdConnectResponseType.Code;
        options.ResponseMode = OpenIdConnectResponseMode.Query;

        // 手动获取并解析IDP元数据
        var metadata = await OpenIdConnectConfiguration.GetAsync(idp.Options.MetadataAddress);
        if (metadata.TokenEndpointAuthMethodsSupported.Contains("client_secret_basic"))
        {
            options.ClientCredentialStyle = ClientCredentialStyle.AuthorizationHeader;
        }
    });
}

2. 支持手动配置认证方式

为兼容所有标准IDP，可在IDP配置模型中增加TokenEndpointAuthMethod字段，允许手动指定认证方式：

foreach (var idp in idProviders)
{
    builder.AddOpenIdConnect(idp.Name, idp.DisplayName, options =>
    {
        mapper.Map(idp.Options, options);
        options.ResponseType = OpenIdConnectResponseType.Code;
        options.ResponseMode = OpenIdConnectResponseMode.Query;

        // 根据配置手动设置认证方式
        if (!string.IsNullOrEmpty(idp.Options.TokenEndpointAuthMethod))
        {
            switch (idp.Options.TokenEndpointAuthMethod)
            {
                case "client_secret_basic":
                    options.ClientCredentialStyle = ClientCredentialStyle.AuthorizationHeader;
                    break;
                case "client_secret_post":
                    options.ClientCredentialStyle = ClientCredentialStyle.PostBody;
                    break;
                // 如需支持client_secret_jwt/private_key_jwt，需额外配置签名凭证
                case "client_secret_jwt":
                    options.ClientSecret = idp.Options.ClientSecret;
                    options.SigningCredentials = new SigningCredentials(
                        new SymmetricSecurityKey(Encoding.UTF8.GetBytes(idp.Options.ClientSecret)),
                        SecurityAlgorithms.HmacSha256);
                    break;
                case "private_key_jwt":
                    // 加载私钥并配置SigningCredentials，示例省略
                    break;
            }
        }
    });
}

其他认证方式说明 #

对于client_secret_jwt或private_key_jwt这类基于JWT的认证方式，除了设置对应标识外，还需要配置SigningCredentials来指定签名密钥或证书，确保中间件能生成符合IDP要求的JWT凭证。

内容的提问来源于stack exchange，提问作者Geff