ASP.NET Core 8 MVC对接Identity Server 4授权码模式问题咨询

我已通过隐式授权模式成功对接Identity Server 4，但在ASP.NET Core 8 MVC项目中使用Authorization_code（授权码模式）对接时遇到问题，找不到明确的文档参考。

我的项目为ASP.NET Core 8 MVC，以下是Program.cs代码：

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddControllersWithViews();
builder.Services.AddAuthentication(options =>
    {
        options.DefaultScheme = "Cookies";
        options.DefaultChallengeScheme = "oidc";
    }).AddCookie("Cookies")
    .AddOpenIdConnect("oidc", options =>
    {
        options.SignInScheme = "Cookies";
        options.Authority = "https://test.identity.com/";
        options.RequireHttpsMetadata = false;
        options.ClientId = "test_auth";
        options.ClientSecret = "secret";
        options.SaveTokens = true;
        options.CallbackPath = "/signin-oidc";
    });
var app = builder.Build();

if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Home/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();

app.UseRouting();

app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

app.Run();

疑问与解答 #

1. 是否可以使用Authorization_code模式完成与Identity Server 4的对接？ #

完全可以，授权码模式是服务器端应用（如MVC）对接Identity Server 4的推荐模式，相比隐式模式更安全，授权码会通过后端交换令牌，避免令牌暴露在前端。

2. 许多文档在Startup.ConfigureServices中进行配置，.NET Core 8中是否需要创建该文件？ #

不需要。.NET Core 6及以后版本（包括8）采用了顶级语句的简化项目结构，原Startup.cs中的ConfigureServices和Configure逻辑已合并到Program.cs中，你当前的代码写法符合.NET 8规范。

错误排查与配置修正 #

结合你的代码和Identity Server 4的返回错误，核心问题大概率出在以下几点：

1. 缺失认证中间件 #

你的代码中只调用了app.UseAuthorization()，但必须在它之前添加app.UseAuthentication()，否则认证流程无法触发：

app.UseRouting();

// 新增这一行
app.UseAuthentication();
app.UseAuthorization();

2. 未显式指定授权码模式的响应类型 #

AddOpenIdConnect默认的ResponseType是id_token（对应隐式模式），需要显式设置为Code来启用授权码模式：

.AddOpenIdConnect("oidc", options =>
{
    // ... 其他配置
    options.ResponseType = OpenIdConnectResponseType.Code;
    // 可选：从UserInfo端点获取完整用户信息
    options.GetClaimsFromUserInfoEndpoint = true;
});

3. Identity Server 4客户端配置校验 #

确保Identity Server端的客户端配置正确：

• AllowedGrantTypes必须包含GrantTypes.Code
• RedirectUris必须包含你的MVC项目回调地址（如https://localhost:5001/signin-oidc，需匹配实际运行的域名和端口）
• ClientSecret必须与你配置的secret一致，且客户端的Secret类型设置正确（如Sha256）

修正后的完整Program.cs代码 #

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddControllersWithViews();
builder.Services.AddAuthentication(options =>
    {
        options.DefaultScheme = "Cookies";
        options.DefaultChallengeScheme = "oidc";
    }).AddCookie("Cookies")
    .AddOpenIdConnect("oidc", options =>
    {
        options.SignInScheme = "Cookies";
        options.Authority = "https://test.identity.com/";
        options.RequireHttpsMetadata = false;
        options.ClientId = "test_auth";
        options.ClientSecret = "secret";
        options.SaveTokens = true;
        options.CallbackPath = "/signin-oidc";
        // 显式指定授权码模式响应类型
        options.ResponseType = OpenIdConnectResponseType.Code;
        // 从UserInfo端点获取用户信息
        options.GetClaimsFromUserInfoEndpoint = true;
    });
var app = builder.Build();

if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Home/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();

app.UseRouting();

// 新增认证中间件，必须在授权中间件之前
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

app.Run();

内容的提问来源于stack exchange，提问作者TheGoodGuy