使用HttpWebRequest实现ADFS身份验证遇JavaScript要求问题求助

我之前遇到过完全相同的问题，当时也是用HttpWebRequest调用ADFS的集成身份验证端点，结果收到了JS要求的页面。问题出在几个关键地方，下面是我整理的解决方案和排查步骤：

核心原因分析 #

ADFS返回JS提示，通常因为你请求的是浏览器端的登录页面端点（比如/adfs/ls/），而不是专门为Windows集成身份验证设计的WIA端点。另外，HttpWebRequest默认的配置可能没有处理ADFS需要的会话Cookie、重定向，或者被ADFS识别为非浏览器客户端而拦截。

分步解决方案 #

1. 确认使用正确的ADFS WIA端点 #

首先，登录你的ADFS管理控制台，导航到服务 > 终结点，找到WS-Federation分类下的Windows集成身份验证端点，它的URL应该类似：

https://adfs.yourcompany.com/adfs/ls/wia

确保你的adfsIntegratedAuthUrl指向这个地址，而不是普通的/adfs/ls/端点（后者是给浏览器用的，依赖JS）。

2. 配置HttpWebRequest处理Cookie和重定向 #

ADFS需要跟踪会话状态，所以必须启用Cookie容器和自动重定向：

request.CookieContainer = new CookieContainer();
request.AllowAutoRedirect = true;

3. 设置模拟浏览器的User-Agent #

有些ADFS环境会拒绝非浏览器的User-Agent，添加一个常见的浏览器UA字符串：

request.UserAgent = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36";

4. 启用Kerberos/NTLM相互认证 #

确保请求启用了相互认证，让Kerberos票据能正确传递：

request.AuthenticationLevel = System.Net.Security.AuthenticationLevel.MutualAuthRequired;

修改后的完整代码示例 #

private string GetAdfsSAMLTokenWinAuth() 
{
    string samlAssertion = null;
    var request = (HttpWebRequest)WebRequest.Create(this.adfsIntegratedAuthUrl);
    
    // 关键配置：Cookie容器和自动重定向
    request.CookieContainer = new CookieContainer();
    request.AllowAutoRedirect = true;
    
    request.UseDefaultCredentials = true;
    // 模拟浏览器User-Agent
    request.UserAgent = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36";
    // 启用相互认证，确保Kerberos生效
    request.AuthenticationLevel = System.Net.Security.AuthenticationLevel.MutualAuthRequired;
    
    byte[] responseData = HttpHelper.SendHttpRequest(
        this.adfsIntegratedAuthUrl, "GET", null, "text/html; charset=utf-8", request);

    if (responseData != null)
    {
        try
        {
            using (var ms = new MemoryStream(responseData))
            using (var sr = new StreamReader(ms, Encoding.UTF8))
            {
                var integratedauthresponse = sr.ReadToEnd();
                
                // 先检查是否仍返回JS提示，排查端点问题
                if (integratedauthresponse.Contains("JavaScript required"))
                {
                    throw new InvalidOperationException("请确认ADFS端点是否为Windows集成身份验证专用的WIA端点。");
                }
                
                var nav = new XPathDocument(new StringReader(integratedauthresponse)).CreateNavigator();
                var wresult = nav.SelectSingleNode("/html/body/form/input[@name='wresult']");
                
                if (wresult != null)
                {
                    var RequestSecurityTokenResponseText = wresult.GetAttribute("value", "");
                    using (var sr2 = new StringReader(RequestSecurityTokenResponseText))
                    {
                        var nav2 = new XPathDocument(sr2).CreateNavigator();
                        var nsMgr = new XmlNamespaceManager(nav2.NameTable);
                        nsMgr.AddNamespace("t", "http://schemas.xmlsoap.org/ws/2005/02/trust");
                        var requestedSecurityToken = nav2.SelectSingleNode("//t:RequestedSecurityToken", nsMgr);
                        
                        if (requestedSecurityToken != null)
                        {
                            var doc = new XmlDocument();
                            doc.PreserveWhitespace = true;
                            doc.LoadXml(requestedSecurityToken.InnerXml);
                            samlAssertion = doc.InnerXml;
                        }
                    }
                }
            }
        }
        catch (Exception ex)
        {
            // 这里可以添加日志记录逻辑
            Console.WriteLine("Windows集成身份验证获取SAML令牌失败：" + ex.Message);
        }
    }
    
    methodused = "Windows Authentication";
    return samlAssertion;
}

额外排查步骤 #

• 测试端点可用性：在域内机器上用浏览器直接访问WIA端点，应该自动完成身份验证并返回包含wresult的页面，如果仍显示JS提示，说明ADFS端点配置有误。
• 检查Kerberos票据：用klist命令查看当前用户是否有ADFS服务的Kerberos票据，如果没有，需要检查ADFS的SPN配置（比如是否注册了HTTP/adfs.yourcompany.com）。
• ADFS服务器配置检查：确认ADFS的WIA端点已启用，并且没有针对User-Agent的拦截规则。

内容的提问来源于stack exchange，提问作者LordPupazz