使用Dummy Redirect URL实现OIDC流程是否存在安全风险？

核心结论 #

你的这种做法存在明确安全隐患，虽当前能跑通流程，但不符合OIDC原生客户端最佳实践，易被攻击利用。

具体风险点 #

• 授权码泄露风险：原生应用运行环境无浏览器同源策略保护，若抓取重定向响应的逻辑存在漏洞（比如日志记录完整URL、被系统内其他进程窃取），恶意程序可通过窃取授权码兑换令牌。
• 规范兼容性问题：原生客户端属于public客户端范畴（无法安全存储ClientSecret），OIDC规范要求使用urn:ietf:wg:oauth:2.0:oob（带外）或localhost回调URL，而非无意义的Dummy URL。若Dummy URL被恶意客户端复用，可能引发授权码劫持。
• 后续流程失效风险：部分OIDC提供商对注册的重定向URL有严格匹配校验，未注册的Dummy URL可能在提供商升级校验逻辑后直接失效；若已注册，攻击者可通过伪造页面诱导用户触发错误授权流程。

合规替代方案 #

针对.NET原生应用，推荐两种标准回调方式：

1. Localhost回调URL：
   • 注册http://localhost:xxxx/callback这类URL（端口可动态指定），客户端启动时监听该端口的HTTP请求，OIDC提供商重定向后直接从请求中提取授权码，完成后关闭监听。.NET的Microsoft.Identity.Client库已内置支持该方式，无需手动抓响应。
   • 示例伪代码：

     var pca = PublicClientApplicationBuilder.Create("your-client-id")
         .WithRedirectUri("http://localhost:5000/callback")
         .Build();
     var result = await pca.AcquireTokenInteractive(scopes)
         .WithUseEmbeddedWebView(true)
         .ExecuteAsync();
     

2. 带外（OOB）回调：
   • 使用urn:ietf:wg:oauth:2.0:oob作为重定向URL，OIDC提供商不会跳转，而是直接在页面显示授权码，用户手动复制粘贴到客户端。此方式安全性高但用户体验稍弱，适合高安全要求场景。

额外建议 #

• 立即停用Dummy URL，切换至合规回调方式。
• 确保PKCE流程中每次都生成随机的code verifier，不重复使用，降低授权码被劫持后的滥用风险。
• 原生客户端不要存储ClientSecret，应在OIDC提供商后台将客户端类型切换为public。

内容的提问来源于stack exchange，提问作者Pascal