ASP.NET Core OAuth认证报错：需提供ClientSecret，Postman却无需该参数？

• 授权模式不匹配
  Postman能正常运行，大概率是因为你选择了隐式授权模式（Implicit Flow），或者在授权码模式下将客户端标记为了公共客户端。这两种场景的设计初衷就是为了无法安全存储密钥的客户端（比如浏览器、桌面应用），因此不需要提供ClientSecret。而Microsoft.AspNetCore.Authentication.OAuth扩展默认适配的是机密客户端的授权码模式——这类客户端（比如后端服务）能安全存储密钥，所以框架会强制校验ClientSecret是否存在。

• 客户端类型配置差异
  你的自定义认证服务器可能已经把Postman对应的客户端ID标记为“公共客户端”，跳过了密钥校验；但代码中没有明确告知框架当前客户端是公共类型，导致框架按默认的机密客户端规则要求提供ClientSecret。

解决办法 #

如果你的客户端确实属于公共客户端，可通过以下方式调整代码：

1. 不设置ClientSecret，同时在token请求阶段移除该参数：

services.AddAuthentication().AddOAuth("CustomOAuth", options =>
{
    options.ClientId = "你的客户端ID";
    options.AuthorizationEndpoint = "https://你的认证服务器地址/authorize";
    options.TokenEndpoint = "https://你的认证服务器地址/token";
    options.CallbackPath = "/signin-customoauth";

    options.Events = new OAuthEvents
    {
        OnTokenEndpoint = context =>
        {
            // 移除自动添加的client_secret参数
            context.TokenRequestParameters.Remove("client_secret");
            return Task.CompletedTask;
        },
        OnCreatingTicket = context =>
        {
            // 处理用户凭证逻辑，比如从响应中提取用户信息
            return Task.CompletedTask;
        }
    };
});

2. 如果认证服务器支持OpenID Connect，也可以改用Microsoft.AspNetCore.Authentication.OpenIdConnect，并配置ClientSecret为null，同时设置TokenValidationParameters允许无密钥的公共客户端场景。

内容的提问来源于stack exchange，提问作者r00xus