如何在Google Cloud启用无需client_secret的OIDC认证PKCE流程？

1. 确认OAuth 2.0客户端类型是否为公共客户端 #

Google Cloud的OAuth客户端分两类，只有公共客户端支持无client_secret的PKCE流程：

• 若你的应用是前端SPA或移动应用，必须在Google Cloud控制台中将客户端类型设置为「单页应用」「iOS应用」或「Android应用」——这些属于公共客户端范畴。
• 若当前是「Web应用」类型客户端，即便携带PKCE参数，Google仍会要求提供client_secret，因为Web应用被默认判定为机密客户端。

2. 检查授权请求的参数规范 #

确保授权请求包含完整的PKCE必填参数，且格式无误：

• 携带code_challenge：使用SHA-256哈希后做base64url编码的code verifier
• 指定code_challenge_method：固定值为S256
• 公共客户端请求绝对不能包含client_secret参数，否则会触发错误提示。

3. 验证客户端配置正确性 #

• 进入Google Cloud控制台 → API与服务 → 凭据 → 找到目标OAuth客户端ID
• 确认客户端类型为「单页应用」「iOS应用」或「Android应用」
• 若之前创建的是Web应用类型，建议重新创建对应类型的公共客户端ID，替换现有ID使用。

4. 令牌请求的参数要求 #

在换取令牌的步骤中，公共客户端的请求需满足：

• 使用authorization_code授权类型
• 携带code_verifier参数（原始未哈希的随机字符串）
• 仅传递client_id、code、redirect_uri、grant_type=authorization_code和code_verifier，禁止携带client_secret。

注意：如果你的应用是传统Web后端应用（非SPA），Google不建议使用无client_secret的PKCE模式，这类场景应使用机密客户端模式，将client_secret安全存储在后端。

内容的提问来源于stack exchange，提问作者Gagan Singh