如何让Azure授权码流+PKCE在机密客户端（Web应用类型）生效

要让Web应用类型（机密客户端）下正常使用授权码+PKCE流，需要调整代码配置并确认Azure AD应用注册设置：

1. 恢复ClientSecret配置 #

Web应用作为机密客户端，即使启用PKCE，Azure AD仍要求在令牌交换阶段验证客户端密钥。因此需要取消注释options.ClientSecret的配置，同时保留UsePkce = true，结合机密客户端身份验证和PKCE的安全增强特性。

修改后的代码示例：

.AddAbpOpenIdConnect(configuration["OpenIdConnect:AuthenticationScheme"], configuration["OpenIdConnect:DisplayName"], options =>
{
    options.Authority = "https://login.microsoftonline.com/" + configuration["AzureAd:TenantId"] + "/v2.0/";
    options.ClientId = configuration["AzureAd:ClientId"];
    options.ResponseType = OpenIdConnectResponseType.Code;
    options.CallbackPath = configuration["AzureAd:CallbackPath"];
    options.ClientSecret = configuration["AzureAd:ClientSecret"]; // 恢复此配置
    options.RequireHttpsMetadata = true;
    options.UsePkce = true;
    options.SaveTokens = true;
    options.GetClaimsFromUserInfoEndpoint = true;
    options.Scope.Add("email");
    options.ClaimActions.MapJsonKey(ClaimTypes.NameIdentifier, "sub");
    options.Prompt = OpenIdConnectPrompt.SelectAccount;
})

2. 确认Azure AD应用注册设置 #

• 重定向URI类型：确保在Azure AD应用注册的"认证"页面中，配置的重定向URI是Web类型，而非SPA类型，且路径与代码中的CallbackPath完全一致。
• 公共客户端流设置：不要开启"允许公共客户端流"选项，保持Web应用的机密客户端身份特性。

原理说明 #

PKCE最初设计用于公共客户端（如SPA），但Azure AD允许机密客户端（Web应用）结合PKCE使用，以此提升授权码交换过程的安全性。此时客户端需要同时提供ClientSecret（证明客户端身份）和PKCE验证参数（防止授权码被劫持），两者并不冲突。之前注释ClientSecret后仅SPA能生效，是因为SPA属于公共客户端，不需要验证ClientSecret，而Web应用作为机密客户端必须提供密钥才能完成令牌交换。

内容的提问来源于stack exchange，提问作者Pavel Maskevich