PHP使用OAuth PKCE获取Token遇400错误请求求助

下面是导致invalid_request错误的核心问题及修复方式：

1. PKCE流程逻辑错误 #

PKCE的核心规则是在发起授权请求前就生成code_verifier和code_challenge，并将code_challenge传给OAuth服务器；回调兑换token时，必须使用**同一个code_verifier**进行验证。你当前在回调处理方法里才生成这两个参数，服务器无法匹配验证，直接触发无效请求。

2. Token端点URL拼写错误 #

请求的token端点是https://outh-server.com/connect/token，但回调URL中的iss字段显示授权服务器域名是https://oauthserver.com，明显少了字母o，需修正为正确的服务器域名（比如https://oauthserver.com/connect/token）。

3. Code Challenge编码不符合PKCE规范 #

hash('sha256', $code_verifier, true)返回的是原始二进制数据，PKCE要求code_challenge必须是URL安全的Base64编码，需要对二进制哈希结果做转码处理。

4. 额外检查项 #

• 确保redirect_uri与发起授权请求时使用的地址完全一致（包括协议、域名、路径，不能有任何差异）
• 如果你的OAuth客户端是保密类型，需在请求中添加client_secret参数

修正后的完整流程代码示例 #

第一步：发起授权请求（生成并保存PKCE参数）

public function redirectToAuth()
{
    // 生成code_verifier并存入session，回调时复用
    $code_verifier = bin2hex(random_bytes(32));
    session(['code_verifier' => $code_verifier]);

    // 生成符合PKCE规范的code_challenge
    $code_challenge = rtrim(strtr(base64_encode(hash('sha256', $code_verifier, true)), '+/', '-_'), '=');

    // 拼接授权URL并跳转至OAuth服务器
    $authUrl = 'https://oauthserver.com/authorize?' . http_build_query([
        'response_type' => 'code',
        'client_id' => 'my-client-id',
        'redirect_uri' => 'http://example.com/callback',
        'scope' => 'tts_api',
        'code_challenge' => $code_challenge,
        'code_challenge_method' => 'S256'
    ]);

    return redirect()->to($authUrl);
}

第二步：处理回调兑换Token

public function handleAauth(Request $request)
{
    $http = new Client;
    // 从session取出之前保存的code_verifier
    $code_verifier = session('code_verifier');
    if (!$code_verifier) {
        return response('Missing code verifier', 400);
    }

    $response = $http->post('https://oauthserver.com/connect/token', [
        'form_params' => [
            'grant_type' => 'authorization_code',
            'client_id' => 'my-client-id',
            'code_verifier' => $code_verifier,
            'code' => $request->code,
            'redirect_uri' => 'http://example.com/callback',
            // 若为保密客户端，取消注释以下行
            // 'client_secret' => 'my-client-secret',
        ],
        'headers' => ['Accept' => 'application/json']
    ]);

    // 清理session中的verifier
    session()->forget('code_verifier');

    return $response->getBody()->getContents();
}

内容的提问来源于stack exchange，提问作者Mehdi Jalali