OpenIdConnectSecurityKeyProvider.RetrieveMetaData 异常 - 无法从以下位置检索文档：'System.String'

Question

这已经工作了3年多。 今天早上一切都坏了。

我的 SPA 在后端使用 C# Web API 在前端使用 MSAL.js。 用户通过 O365 Auth 获取 Bearer Token，所有 web 请求将 token 传递给 API 后端。 在花了大部分时间重新熟悉这个技术堆栈之后，我想我可以问一个半智能的问题。

OpenIdConnectSecurityKeyProvider.RetrieveMetaData 方法在尝试检索配置时引发致命异常

OpenIdConnectConfiguration config = ConfigManager.GetConfigurationAsync().Result;

起初我收到这个错误。

“InvalidOperationException：IDX20803：无法从以下位置获取配置：'[PII is hidden]'”

升级几个 Microsoft.IdentityModel 包和 Microsoft.Owin 包后，抛出的异常是。

IOException：IDX20807：无法从“System.String”检索文档。 HttpResponseMessage: 'System.Net.Http.HttpResponseMessage',

任何如何继续调试的想法都会非常有帮助。

Answer 1

我不知道这是否适合您，但对我来说，在startup.cs中添加这一行有效：

System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;

这源于文章： https://docs.microsoft.com/en-us/troubleshoot/azure/active-directory/enable-support-tls-environment?tabs=azure-monitor

所以我认为有一种方法可以在操作系统级别默认切换 TLS 方法，但目前上述代码更改有效。

Answer 2

MS 已关闭 Azure AD 和最终 GraphAPI 的 TLS 1.0、TLS 1.1 和 3DES 加密。 为了发现实际错误，我必须启用 PII（个人身份信息）。 基本上，PII 是/曾经是 API 密钥，其中还包括来自 Azure AD 的完整堆栈错误。 您可以在您的 startup.cs 或您初始化 IAppBuilder 接口的任何位置启用此功能。 这是来自MS的公告。

https://docs.microsoft.com/en-us/troubleshoot/azure/active-directory/enable-support-tls-environment?tabs=azure-monitor#enable-tls-12-on-client-or-server-操作系统-

using System;
using System.Threading.Tasks;
using System.Web.Http;
using Microsoft.Owin;
using Microsoft.IdentityModel.Logging;
using Owin;

[assembly: OwinStartup(typeof(MERP.Startup))]
namespace MERP
{
    public partial class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            GlobalConfiguration.Configure(WebApiConfig.Register);
            IdentityModelEventSource.ShowPII = true; //Important for debugging
            ConfigureAuth(app);
        }
    }
}

得到实际错误后，基本上是不支持 TLS 版本的效果。 我必须使用 powershell 脚本启用 TLS 1.2。 这是一篇带有 PS 脚本以启用 TLS 1.2 的 MS 文章。 https://docs.microsoft.com/en-us/azure/active-directory/hybrid/reference-connect-tls-enforcement

启用 TLS 1.2 PS 脚本以便于访问

If (-Not (Test-Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319'))
{
    New-Item 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -PropertyType 'DWord' -Force | Out-Null

If (-Not (Test-Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319'))
{
    New-Item 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -PropertyType 'DWord' -Force | Out-Null

If (-Not (Test-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server'))
{
    New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Name 'Enabled' -Value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Name 'DisabledByDefault' -Value '0' -PropertyType 'DWord' -Force | Out-Null

If (-Not (Test-Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client'))
{
    New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Force | Out-Null
}
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Name 'Enabled' -Value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Name 'DisabledByDefault' -Value '0' -PropertyType 'DWord' -Force | Out-Null

Write-Host 'TLS 1.2 has been enabled. You must restart the Windows Server for the changes to take affect.' -ForegroundColor Cyan