.NET 5升级至.NET 6后OpenIDConnect登录响应异常：401变400

这是因为.NET 6对OpenID Connect的错误处理逻辑做了合规性调整，核心变化如下：

• .NET 5中，凭证验证失败（如invalid_grant）时，框架直接返回403 Forbidden响应，不会附加WWW-Authenticate头。
• .NET 6中，框架严格遵循RFC 6749（OAuth 2.0规范）的要求，当遇到invalid_grant这类OAuth2错误时，会生成包含错误信息的WWW-Authenticate头，并将响应转为挑战（Challenge）类型，而非直接返回Forbidden。

若需要保持.NET 5的行为，可以通过自定义OpenIdConnectOptions的事件来覆盖错误处理逻辑，示例代码如下：

services.AddAuthentication().AddOpenIdConnect(options =>
{
    // 原有配置...
    options.Events = new OpenIdConnectEvents
    {
        OnTokenResponseReceived = context =>
        {
            if (context.TokenEndpointResponse.Error == "invalid_grant")
            {
                context.Response.StatusCode = StatusCodes.Status403Forbidden;
                context.HandleResponse();
            }
            return Task.CompletedTask;
        }
    };
});

也可通过OnAuthenticationFailed事件调整响应：

options.Events.OnAuthenticationFailed = context =>
{
    if (context.Failure.Message.Contains("invalid_grant"))
    {
        context.Response.StatusCode = StatusCodes.Status403Forbidden;
        context.HandleResponse();
    }
    return Task.CompletedTask;
};

内容的提问来源于stack exchange，提问作者Ivonne Gattringer