安装 KB5028185 后，浏览器中似乎不再可以在 Azure Active Directory（AAD，现在的 EntraID）中注册。因此，您无法在 Citrix VDI 下的混合加入的 Windows 11 计算机上接收身份验证。错误消息是：“抱歉，我们在让您登录时遇到问题。AADSTS501201：JWT 中出现意外声明：client_id、redirect_uri。”
您知道用户会自动登录 Citrix VDI 上的 Office 应用程序和 Edge。但是，当发生此问题时，他们在从 Edge 向 Office365 进行身份验证时，在提示输入密码或任何内容之前会遇到突出的问题。更新 KB5028185 已被确定为原因，并且似乎涉及过时的 OAuth 令牌。
AADSTS501201：JWT 中出现意外声明：Windows 11 22H2 中的 client_id、redirect_uri 登录错误
以下是修复 Windows 11 中的 AADSTS501201 登录错误的方法 –
在 Microsoft Edge 中删除用户配置文件
一些用户发现，删除 Edge 浏览器中的用户配置文件只能解决该错误，并允许他们登录 Microsoft Office 365 应用程序。但是，删除配置文件后，您将无法同步设备和应用程序，但您可以等到错误得到正式解决。因此，请按照以下步骤操作：
- 启动 Microsoft Edge 浏览器。
- 单击“配置文件”图标并选择“设置”齿轮。
- 单击您的个人资料的三点图标（省略号）。
- 选择删除。
- 将出现一个确认对话框；单击“删除个人资料”。
- 重新启动浏览器，然后尝试登录。
在新的 InPrivate 窗口中打开 Office 应用程序
有报告称，在 Microsoft Edge 的新 InPrivate 窗口中打开该应用程序后，尝试登录 Office 时不会出现问题。那么，尝试一下这个方法：
- 单击浏览器右上角的“三点图标”。
- 选择新建 InPrivate 窗口。
- 现在尝试登录。
卸载KB5028185
如果上述方法均不起作用，您将必须卸载 KB5028185（2023 年 7 月的安全更新）以修复 Windows 11 22H2 中的 AADSTS501201 登录错误。步骤如下：
1]使用设置应用程序
- 按Windows 键和I。
- 单击“设置”上的“Windows 更新” 。
- 转到右侧并选择更新历史记录。
- 向下滚动下一页，然后单击“卸载更新”。
- 找到 KB5028185 并单击卸载链接。
- 确认弹出窗口。
2]通过命令提示符
除此之外，您还可以通过以下方法使用cmd命令卸载KB5028185：
- 单击“搜索”并输入cmd.exe。
- 选择以管理员身份运行。
- 当出现“用户帐户控制”时，单击“是”。
- 在命令提示符下，键入wusa /uninstall /kb:5028185并按Enter。
- 在警告弹出窗口中单击“是” 。
如果 KB5028185 仍未卸载，请进入安全模式
然后按照如何退出 Windows 10 安全模式返回到正常模式。
此外，您还可以将系统恢复到未安装补丁时的状态。
卸载补丁后，从“设置”>“Windows 更新”暂停 Windows 更新。单击“暂停更新”旁边的向下箭头。从下拉列表中选择最大天数。
修复 AADSTS501201 的额外方法
进行彻底的故障排除后，您将能够解决此问题。在混合环境中，您可能会注意到具有 KB5028185 更新的设备之间的连接在 AAD (Azure Active Directory) 中处于“待处理”注册状态。
这种情况表明 Azure 主刷新令牌 (PRT) 无法正确续订。要解决此问题，您需要执行以下步骤：取消注册受影响的设备，将其从 AAD 中删除，然后从本地 Active Directory 执行同步。这是基于多个用户的输入。
- 使用命令提示符取消注册设备
dsregcmd /leave。 - 删除 AAD 中的设备。
- 从我们的本地 AD 同步。
- 等待设备出现在 AAD 中并处于待处理状态。
- 重新启动设备。
- 登录我们的 APP/ (SSO)。
- 如果设备未注册，请运行Microsoft => Windows => Workplace Join 下的自动设备加入
计划任务 验证设备是否已注册。 - 运行
dsregcmd /status并检查 AzureAdPRT 在 SSO 状态下的有效性。