Azure中OAuth 2.0授权码PKCE流配置失败问题求助

一、核心问题定位 #

你的问题根源有两点：

1. Postman令牌请求阶段参数传递格式错误（移除client_secret后未正确携带client_id）
2. Azure AD应用与Flutter端的PKCE流程配置未完全对齐

二、Postman端PKCE流程修正步骤 #

公开客户端（Public Client）使用PKCE获取令牌，必须严格遵循以下配置：

• 授权码获取环节：
  1. 选择Authorization Code (with PKCE)授权类型
  2. 填入Client ID，清空Client Secret输入框
  3. 勾选Authorize using browser选项
  4. 重定向URL填写myapp://logged-in
  5. 确保Code Challenge Method选择SHA-256（Postman会自动生成Code Verifier和Code Challenge）
  6. 点击Get New Access Token完成浏览器授权，获取授权码
• 令牌请求环节：
  1. 自动生成的请求中绝对不能添加client_secret
  2. 检查请求体（x-www-form-urlencoded格式）必须包含：client_id、code、redirect_uri、grant_type=authorization_code、code_verifier
  3. 若仍提示缺少client_id，手动在请求体中添加client_id=你的Azure应用ID（不要放在URL参数里）

三、Flutter端（flutter_web_auth_2）PKCE实现代码 #

以下是适配flutter_web_auth_2的完整PKCE流程实现，直接复用即可：

import 'dart:convert';
import 'dart:math';
import 'package:crypto/crypto.dart';
import 'package:flutter_web_auth_2/flutter_web_auth_2.dart';
import 'package:http/http.dart' as http;

// 生成随机Code Verifier
String generateCodeVerifier() {
  final random = Random.secure();
  final bytes = List<int>.generate(32, (_) => random.nextInt(256));
  return base64UrlEncode(bytes).replaceAll('=', '');
}

// 生成SHA-256格式的Code Challenge
String generateCodeChallenge(String verifier) {
  final bytes = utf8.encode(verifier);
  final digest = sha256.convert(bytes);
  return base64UrlEncode(digest.bytes).replaceAll('=', '');
}

// 完整PKCE授权流程
Future<String> azurePkceSignIn() async {
  // 替换为你的Azure应用信息
  const clientId = '你的Client ID';
  const tenantId = '你的租户ID';
  const redirectUri = 'myapp://logged-in';
  const scope = 'openid profile offline_access';

  final codeVerifier = generateCodeVerifier();
  final codeChallenge = generateCodeChallenge(codeVerifier);

  // 构造授权URL
  final authUrl = Uri.parse(
    'https://login.microsoftonline.com/$tenantId/oauth2/v2.0/authorize'
    '?client_id=$clientId'
    '&response_type=code'
    '&redirect_uri=${Uri.encodeComponent(redirectUri)}'
    '&scope=${Uri.encodeComponent(scope)}'
    '&code_challenge=$codeChallenge'
    '&code_challenge_method=S256'
  );

  // 唤起浏览器授权
  final result = await FlutterWebAuth2.authenticate(
    url: authUrl.toString(),
    callbackUrlScheme: 'myapp',
  );

  // 解析回调中的授权码
  final authCode = Uri.parse(result).queryParameters['code'];

  // 请求访问令牌
  final tokenResponse = await http.post(
    Uri.parse('https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token'),
    headers: {'Content-Type': 'application/x-www-form-urlencoded'},
    body: {
      'client_id': clientId,
      'grant_type': 'authorization_code',
      'code': authCode,
      'redirect_uri': redirectUri,
      'code_verifier': codeVerifier,
      // 注意：公共客户端绝对不能传client_secret
    },
  );

  final tokenData = jsonDecode(tokenResponse.body);
  return tokenData['access_token'];
}

四、Azure AD应用配置确认 #

1. 确保应用注册类型为**"公共客户端/移动和桌面应用"**；若为旧版应用，在"身份验证"页面开启"允许公共客户端流"
2. 重定向URL列表中必须包含myapp://logged-in，iOS端需额外在Info.plist中配置对应的URL Scheme
3. 应用清单中allowPublicClient字段需设为true（若未配置，手动添加："allowPublicClient": true）

五、常见坑点排查 #

• Postman令牌请求必须使用x-www-form-urlencoded格式，不能用Raw JSON
• Flutter端的code_verifier必须和授权阶段生成的完全一致，不能修改
• 重定向URL在Azure、Postman、Flutter代码中必须完全匹配（大小写、斜杠均不能出错）

内容的提问来源于stack exchange，提问作者Redzix