Incorrect callback in Office 365 Client credentials grant OAuth2 flow

Question

I am playing with client credentials grant flow described here https://msdn.microsoft.com/en-us/office/office365/howto/building-service-apps-in-office-365

这是我的初始授权请求： https://login.microsoftonline.com/common/oauth2/authorize?nonce=c43a377e-8b75-4c7f-9fab-300f1dbc76c5&prompt=admin_consent&state=35&redirect_uri=http%3A%2F%2Flocalhost%3A6543%2Fcallback%2Foffice365&response_type=code+id_token&client_id=XXXX&scope=openid

根据文档，我希望收到一个带有令牌的POST回调。 但我实际上收到了像这样的GET回调： http://localhost:6543/callback/office365#code=XXXXX&id_token=XXXXX&state=35&session_state=3a2e2c61-7e71-4f11-a9a6-f1dd8f50aeb6&admin_consent=True

我实际上更喜欢GET而不是POST，但有一个哈希唱＃而不是问号？在URL中，所以参数实际上不是GET参数。

我有什么办法可以收到有效的回电吗？

Answer 1

根据规范，OAuth2支持不同的response modes。 添加response_mode=query可以解决问题。这意味着MS授权端点默认使用response_mode=fragment，未在文档中明确说明。