Python OIDC应用PKCE配置后未生效问题求助

结合你的代码和PKCE规范，以下几个关键点需要检查：

1. 授权请求缺少code_challenge_method参数 #

PKCE规范要求在授权请求中明确指定挑战方法，默认值是plain，但绝大多数IDP要求使用S256（SHA-256哈希）。你的授权参数里只传了code_challenge，没有指定方法，IDP可能因此未触发PKCE校验。

修改授权参数：

authorize_params = {
    'nonce': nonce,
    'client_id': client_id,
    'redirect_uri': redirect_uri,
    'response_type': 'code',
    'scope': 'openid id',
    'code_challenge': code_challenge,
    'code_challenge_method': 'S256'  # 新增这一行
}

同时要确保你的pkce.get_code_challenge方法是基于SHA-256生成的，如果库默认是plain，需要显式指定方法：

code_challenge = pkce.get_code_challenge(code_verifier, method='S256')

2. 机密客户端模式下IDP可能跳过PKCE校验 #

你的token请求中传了client_secret，说明应用被配置为机密客户端。部分IDP的逻辑是：机密客户端使用client_secret进行身份验证时，会忽略PKCE校验（因为PKCE主要是为无法安全存储client_secret的公共客户端设计的）。

如果要强制IDP启用PKCE，需要：

• 在IDP控制台将应用类型改为公共客户端（去掉client_secret的使用）
• 或者在IDP配置中开启“机密客户端强制PKCE”的选项（如果支持的话）

3. 授权请求与Token请求的Scope不一致 #

你的授权请求scope是openid id，但token请求是openid id id2 id3。有些IDP会因为scope不匹配，认为这是两个不同的授权流程，导致PKCE校验逻辑未触发。

确保两处scope完全一致：

# 授权请求
'scope': 'openid id id2 id3'
# Token请求
'scope': 'openid id id2 id3'

4. 验证Code Verifier和Challenge的生成逻辑 #

检查你使用的pkce库是否符合PKCE规范：

• Code Verifier必须是43-128位的字符串，仅包含A-Z、a-z、0-9、-、_、.、~这些字符
• Code Challenge如果用S256，必须是Code Verifier的SHA-256哈希值，再进行URL安全的Base64编码（去掉末尾的=）

可以手动验证生成逻辑，比如用以下代码测试：

import hashlib
import base64
import secrets

def generate_code_verifier():
    return secrets.token_urlsafe(96)  # 生成符合长度要求的verifier

def get_s256_challenge(verifier):
    sha256 = hashlib.sha256(verifier.encode('utf-8')).digest()
    return base64.urlsafe_b64encode(sha256).decode('utf-8').rstrip('=')

# 测试
verifier = generate_code_verifier()
challenge = get_s256_challenge(verifier)
print(f"Verifier: {verifier}")
print(f"Challenge: {challenge}")

对比你的库生成的结果，确保逻辑一致。

5. 确认IDP的PKCE配置是否正确 #

即使你这边配置了，也要检查IDP端：

• 是否为该应用启用了PKCE支持
• 是否要求必须使用S256方法（部分IDP不支持plain方法）
• 授权端点和token端点是否正确处理PKCE参数

内容的提问来源于stack exchange，提问作者Victor LESCOUTRE - PRIZM