.NET 4.6调用ADFS的WSTrust接口遇Content Type不匹配错误求助

看起来你遇到的核心问题是ADFS返回了HTML页面而非预期的SOAP响应，这通常是因为端点错误或者ADFS配置问题导致的。下面是一步步的排查和解决方法：

1. 确认WS-Trust端点是否正确 #

你当前使用的https://domainname/adfs/ls是ADFS的登录页面端点（Login Screen），不是WS-Trust协议的服务端点。正确的WS-Trust 1.3 UserName认证端点应该是：

https://domainname/adfs/services/trust/13/usernamemixed

这是最常见的错误原因——调用了错误的端点导致ADFS返回登录页面（text/html）而非SOAP响应。

2. 验证端点可用性 #

直接在浏览器或者Postman中访问正确的端点地址，正常情况下应该返回类似这样的SOAP相关内容（不是HTML）：

wsdl:definitions...
如果返回HTML页面（比如404、登录界面），说明端点不存在或未启用。

3. 检查ADFS端点配置 #

在ADFS管理控制台中：

• 导航到服务 > 端点
• 找到WS-Trust 1.3下的UserName端点，确认状态是启用
• 确认端点地址路径是/adfs/services/trust/13/usernamemixed

4. 修正代码中的端点配置 #

把你的EndPoint配置项改成正确的WS-Trust端点，修正后的代码片段：

var stsEndpoint = ConfigurationManager.AppSettings["EndPoint"]; // 现在应该是https://domainname/adfs/services/trust/13/usernamemixed
var relayPartyUri = ConfigurationManager.AppSettings["RelayPartyUri"];
EndpointAddress epoint = new EndpointAddress(stsEndpoint);
var factory = new WSTrustChannelFactory(new UserNameWSTrustBinding(SecurityMode.TransportWithMessageCredential), epoint) { TrustVersion = TrustVersion.WSTrust13 };

if (factory.Credentials != null) {
    // 注意：有些ADFS环境要求使用UPN格式（user@systemdomain.com）而非NTLM格式（systemdomain\user），可以两种都试试
    factory.Credentials.UserName.UserName = @"systemdomain\" + userName; 
    factory.Credentials.UserName.Password = password;
}

var rst = new RequestSecurityToken {
    RequestType = WSTrust13Constants.RequestTypes.Issue,
    AppliesTo = new EndpointReference(relayPartyUri),
    KeyType = WSTrust13Constants.KeyTypes.Bearer
};

var channel = factory.CreateChannel();
var token = channel.Issue(rst);
var genericToken = token as GenericXmlSecurityToken;

5. 捕获实际响应内容排查细节 #

如果还是报错，用Fiddler或者Wireshark抓包查看ADFS返回的HTML内容，里面通常会包含具体错误信息：

• 比如404错误：说明端点还是不对
• 权限错误：说明当前账号没有权限请求令牌
• MFA要求：如果ADFS配置了MFA，UserName绑定可能无法直接使用（需要调整认证方式）

6. 检查用户名格式兼容性 #

有些ADFS部署只接受UPN格式的用户名（user@systemdomain.com），而不是NTLM格式（systemdomain\user）。可以尝试修改用户名格式，看是否能解决问题。

内容的提问来源于stack exchange，提问作者user1691894