在OpenIddict中如何将授权码授予类型委托给内置处理器

当你启用EnableTokenEndpointPassthrough()来处理自定义授予类型（比如客户端凭据）时，无需为授权码流重新实现声明构建和验证逻辑，完全可以委托给OpenIddict原生处理，下面是两种可靠方案：

方案一：通过IOpenIddictServerService调用原生处理流程 #

注入OpenIddict的服务接口，直接调用其内置的授权码交换逻辑，同时保留自定义授予类型的处理：

private readonly IOpenIddictServerService _serverService;

public YourController(IOpenIddictServerService serverService)
{
    _serverService = serverService;
}

[HttpPost("~/connect/token"), IgnoreAntiforgeryToken, Produces("application/json")]
public async Task<IActionResult> Exchange()
{
    var request = HttpContext.GetOpenIddictServerRequest();

    if (request.IsClientCredentialsGrantType())
    {
        // 你的客户端凭据自定义逻辑
        var identity = new ClaimsIdentity(OpenIddictServerAspNetCoreDefaults.AuthenticationScheme);
        identity.AddClaim(OpenIddictConstants.Claims.Subject, "你的客户端ID");
        // 添加其他自定义声明...
        
        return SignIn(new ClaimsPrincipal(identity), OpenIddictServerAspNetCoreDefaults.AuthenticationScheme);
    }

    if (request.IsAuthorizationCodeGrantType())
    {
        // 委托给OpenIddict原生处理授权码交换
        var result = await _serverService.HandleTokenRequestAsync(HttpContext);
        
        if (result.IsSuccessful)
        {
            return SignIn(result.Principal, OpenIddictServerAspNetCoreDefaults.AuthenticationScheme);
        }
        else
        {
            return BadRequest(new OpenIddictResponse
            {
                Error = result.Error,
                ErrorDescription = result.ErrorDescription
            });
        }
    }

    // 处理未支持的授予类型
    return BadRequest(new OpenIddictResponse
    {
        Error = OpenIddictConstants.Errors.UnsupportedGrantType,
        ErrorDescription = "当前授予类型不受支持"
    });
}

方案二：返回ChallengeResult触发原生中间件处理 #

这是更简洁的方式，直接返回ChallengeResult，让OpenIddict中间件自动执行授权码流的所有原生逻辑：

[HttpPost("~/connect/token"), IgnoreAntiforgeryToken, Produces("application/json")]
public async Task<IActionResult> Exchange()
{
    var request = HttpContext.GetOpenIddictServerRequest();

    if (request.IsClientCredentialsGrantType())
    {
        // 你的客户端凭据自定义逻辑
        var identity = new ClaimsIdentity(OpenIddictServerAspNetCoreDefaults.AuthenticationScheme);
        identity.AddClaim(OpenIddictConstants.Claims.Subject, "你的客户端ID");
        // 添加其他自定义声明...
        
        return SignIn(new ClaimsPrincipal(identity), OpenIddictServerAspNetCoreDefaults.AuthenticationScheme);
    }

    if (request.IsAuthorizationCodeGrantType())
    {
        // 触发OpenIddict原生授权码处理流程
        return Challenge(OpenIddictServerAspNetCoreDefaults.AuthenticationScheme);
    }

    // 处理未支持的授予类型
    return BadRequest(new OpenIddictResponse
    {
        Error = OpenIddictConstants.Errors.UnsupportedGrantType,
        ErrorDescription = "当前授予类型不受支持"
    });
}

为什么之前的尝试不可行？ #

你之前直接调用AuthenticateAsync然后SignIn的方式，会跳过OpenIddict原生的关键验证步骤：

• 授权码的有效性检查（是否过期、是否被撤销）
• 授权码与客户端的关联验证
• 重定向URI的匹配验证
• 授权范围的一致性检查

这些步骤都是保障授权码流安全的核心逻辑，必须通过OpenIddict的原生流程执行，不能直接跳过。

内容的提问来源于stack exchange，提问作者Steve P