通过AD FS从VB Windows窗体应用程序获取AD用户信息的方案咨询

核心适配逻辑 #

WinForm作为桌面客户端，不需要依赖ASP.NET或内网WIF组件，直接适配ADFS支持的OAuth 2.0协议即可实现需求，推荐优先用资源所有者密码凭据（ROPC）授权流，刚好匹配用户在客户端直接输入AD凭据的交互场景，无需跳转浏览器。

具体实现步骤 #

• 先完成ADFS侧配置：新增原生应用类型的客户端注册，开启ROPC授权权限，同时配置声明发出规则，确保AD用户组信息会写入返回令牌的声明中，默认的用户组声明类型为http://schemas.microsoft.com/ws/2008/06/identity/claims/groups
• WinForm端发起令牌请求：直接调用ADFS的OAuth令牌接口https://[adfsurl]/adfs/oauth2/token，不需要用到你提到的IDP发起登录页面地址，POST请求参数示例如下：

  grant_type=password&client_id=[ADFS上注册的客户端ID]&username=[用户输入的AD账号]&password=[用户输入的AD密码]&resource=[资源标识，仅获取用户信息可填ADFS自身服务标识]

• 解析令牌提取信息：用Nuget包System.IdentityModel.Tokens.Jwt解析返回的JWT格式令牌，提取groups声明即可拿到用户所属的所有AD用户组信息。

特殊场景适配 #

• 如果ADFS开启了多因素认证（MFA），ROPC流不支持该场景，可改用OAuth授权码流：在WinForm中嵌入WebView2控件加载ADFS登录页，用户完成身份校验后捕获回调的授权码，再向令牌接口兑换令牌即可，后续解析逻辑和ROPC流完全一致。
• 令牌有效性校验可直接调用ADFS的公钥接口https://[adfsurl]/adfs/discovery/keys获取签名公钥本地完成，无需调用内网AD接口。

安全注意项 #

• 所有请求全程走HTTPS，客户端不要本地留存用户输入的AD凭据，拿到令牌后即可清空凭据缓存。

内容的提问来源于stack exchange，提问作者Michael R.