IdentityServer4开启同意页后授权重定向返回Access Denied问题

核心问题分析 #

开启RequireConsent = true后，用户完成同意操作重定向回授权端点时返回Access Denied，本质是授权端点验证请求参数或权限时未通过。结合你的场景，以下是针对性排查点：

1. 检查ConsentController是否完整传递原始授权参数 #

同意页提交后，必须将授权请求的所有原始参数（如state、code_challenge、code_challenge_method）完整传递回授权端点，否则会触发验证失败。

错误示例：手动拼接重定向URL时遗漏关键参数

// 错误：自己拼接URL容易丢参数
return Redirect($"/connect/authorize?client_id={model.ClientId}");

正确做法：使用IdentityServer提供的ProcessConsentAsync返回的重定向地址，它会自动携带所有必要参数

[HttpPost]
[ValidateAntiForgeryToken]
public async Task<IActionResult> Index(ConsentInputModel model)
{
    var result = await _interaction.ProcessConsentAsync(model);
    if (result.IsRedirect)
    {
        // 直接使用框架生成的重定向URL，避免参数丢失
        return Redirect(result.RedirectUri);
    }

    // 其他渲染同意页的逻辑...
}

2. 验证Client配置的一致性 #

确保Client配置与前端请求完全匹配：

• AllowedScopes必须包含所有请求的scope：检查Config中的Client配置，确认openid、profile、email、insigapi.read都在AllowedScopes列表中
• RedirectUri完全一致：前端请求的redirect_uri=http://localhost:4200/auth-callback必须和Client配置的RedirectUris完全相同（注意http/https、端口、路径的大小写和斜杠）
• 开启PKCE支持：SPA场景下授权码模式必须开启PKCE，确保Client配置中RequirePkce = true

正确的Client配置示例：

new Client
{
    ClientId = "insig_spa",
    ClientName = "Insig SPA",
    AllowedGrantTypes = GrantTypes.Code,
    RequireClientSecret = false,
    RedirectUris = { "http://localhost:4200/auth-callback" },
    PostLogoutRedirectUris = { "http://localhost:4200/" },
    AllowedCorsOrigins = { "http://localhost:4200" },
    AllowedScopes = {
        IdentityServerConstants.StandardScopes.OpenId,
        IdentityServerConstants.StandardScopes.Profile,
        IdentityServerConstants.StandardScopes.Email,
        "insigapi.read"
    },
    RequireConsent = true,
    AllowAccessTokensViaBrowser = true,
    RequirePkce = true // 必须开启，否则PKCE验证失败
}

3. 检查用户同意的Scope是否正确传递 #

在ConsentController中，确保ConsentInputModel.ScopesConsented正确收集了用户勾选的所有scope，并且ProcessConsentAsync能正确处理这些选择。如果用户同意了所有请求的scope，但代码中只传递了部分，授权端点会因scope不匹配返回拒绝。

4. 查看IdentityServer详细日志 #

开启IdentityServer的调试日志（如使用Serilog或内置日志），直接查看授权端点返回Access Denied时的具体错误信息，比如：

• state参数验证失败
• code_challenge不匹配
• 请求的scope不在Client允许列表中
  日志会给出最直接的问题定位线索。

内容的提问来源于stack exchange，提问作者Abdul naveed