Swagger UI Oauth2回调以Query参数传Code而非POST的问题

问题1：Swagger直接调用登录端点返回异常，仅能通过「Authenticate」按钮绕开 #

你的Swagger安全定义配置存在两处核心问题：

• 安全定义的In设置为ParameterLocation.Cookie，但Swagger UI默认不会自动携带Cookie到请求中；
• 未添加安全要求（SecurityRequirement），Swagger无法识别哪些接口需要触发认证流程。

调整AddSwaggerGen部分的代码：

services.AddSwaggerGen(c =>
{ 
    c.SwaggerDoc("v1", new OpenApiInfo { Title = $"{apiName} - {environment.EnvironmentName}", Version = "v1" });

    var securityDefinition = new OpenApiSecurityScheme
    {
        Type = SecuritySchemeType.OpenIdConnect,
        Name = "Authorization",
        In = ParameterLocation.Header,
        OpenIdConnectUrl = new Uri($"https://{authOptions.Domain}/.well-known/openid-configuration"),
        Scheme = "Bearer"
    };

    c.AddSecurityDefinition("oauth2", securityDefinition);

    // 添加安全要求，让所有接口默认应用该认证规则
    c.AddSecurityRequirement(new OpenApiSecurityRequirement
    {
        {
            new OpenApiSecurityScheme
            {
                Reference = new OpenApiReference { Type = ReferenceType.SecurityScheme, Id = "oauth2" }
            },
            Array.Empty<string>()
        }
    });
});

同时在Swagger UI配置中补充Cookie携带和认证状态持久化：

c.OAuthUsePkce();
c.OAuthConfigObject.ClientId = authOptions.ClientId;
c.OAuthConfigObject.ClientSecret = authOptions.ClientSecret;
c.OAuthConfigObject.AppName = "Auth0";
c.OAuth2RedirectUrl("https://localhost:5001/callback");
c.EnablePersistAuthorization();
// 强制请求携带Cookie
c.SetRequestInterceptor("(req) => { req.credentials = 'include'; return req; }");

问题2：Swagger触发的认证回调为GET（code放Query），无法改为POST #

Swagger UI的OAuth2授权码流程默认使用GET回调接收code，和你的BFF POST回调接口不兼容，可通过两种方案解决：

方案1：修改BFF回调接口支持GET请求 #

在BFF的/callback端点中添加GET方法支持，直接复用原有逻辑处理Query参数：

[HttpGet("/callback")]
[HttpPost("/callback")]
public async Task<IActionResult> Callback(string code, string state)
{
    // 保留原有的POST回调处理逻辑即可
}

方案2：自定义Swagger UI的回调处理逻辑 #

通过注入自定义JS脚本，将Swagger的回调改为POST请求：

1. 在项目wwwroot目录创建swagger-custom.js文件：

window.onload = function() {
    const ui = window.ui;
    ui.initOAuth({
        clientId: ui.oauthConfig.clientId,
        clientSecret: ui.oauthConfig.clientSecret,
        appName: ui.oauthConfig.appName,
        redirectUrl: ui.oauthConfig.redirectUrl,
        usePkce: true,
        onComplete: function(authResult) {
            if (authResult.code) {
                fetch(ui.oauthConfig.redirectUrl, {
                    method: 'POST',
                    headers: {
                        'Content-Type': 'application/x-www-form-urlencoded'
                    },
                    body: `code=${authResult.code}&state=${authResult.state}`
                }).then(response => response.json())
                  .then(data => {
                      document.cookie = `access_token=${data.access_token}; path=/; secure; HttpOnly`;
                      ui.authActions.authorize({});
                  });
            }
        }
    });
};

2. 在Swagger UI配置中注入该脚本：

c.InjectJavascript("swagger-custom.js");

内容的提问来源于stack exchange，提问作者Valyrion