OpenIddict 4.0与MSAL.js的Code Flow+PKCE兼容问题：scopes参数被拒

问题背景 #

OpenIddict从v4版本开始，严格遵循OAuth 2.0规范：当客户端使用PKCE交换授权码时，请求中携带scope参数会被直接拒绝（错误码ID2074），但v3.x版本无此限制。而MSAL.js的**混合流（hybrid flow）**在交换授权码时会自动发送scope参数，导致请求失败，返回错误如下：

{
  "error": "invalid_request",
  "error_description": "The 'scope' parameter is not valid in this context.",
  "error_uri": "https://documentation.openiddict.com/errors/ID2074"
}

为什么OpenIddict v4会拒绝该请求？ #

根据OAuth 2.0协议，授权码在生成时已经与授权阶段的scope绑定，交换授权码时无需再次传递scope——额外的scope参数不仅多余，还可能引发安全风险（比如恶意篡改权限范围）。OpenIddict v4强化了这一规范校验，因此直接拒绝带scope的授权码交换请求。

解决方案：放宽校验逻辑（改为警告+忽略参数） #

要适配MSAL.js的行为，可以通过自定义OpenIddict的请求处理逻辑，将“拒绝请求”改为“忽略scope参数并记录警告”，具体实现如下：

在OpenIddict服务配置中，添加令牌请求的事件处理：

services.AddOpenIddict()
    .AddServer(options =>
    {
        // 保留原有配置（如授权端点、令牌端点、PKCE支持等）
        options.SetAuthorizationEndpointUris("/connect/authorize")
               .SetTokenEndpointUris("/connect/token")
               .EnablePkce();

        // 添加自定义事件处理，处理授权码交换时的scope参数
        options.AddEventHandler<ProcessTokenRequestContext>(builder =>
        {
            builder.UseInlineHandler(context =>
            {
                // 仅针对授权码类型的请求，且存在scope参数时处理
                if (context.Request.IsAuthorizationCodeGrantType() && !string.IsNullOrEmpty(context.Request.Scope))
                {
                    // 移除scope参数，避免触发校验错误
                    context.Request.Scope = null;
                    // 记录警告日志，便于追踪此类不符合规范的请求
                    context.Logger.LogWarning("授权码交换请求中携带了多余的scope参数，已忽略该参数。此行为不符合OAuth 2.0规范，请检查客户端实现（如MSAL.js混合流）。");
                }
                return default;
            });
        });
    });

效果说明 #

修改后，MSAL.js混合流发送的带scope参数的授权码交换请求会被正常处理，OpenIddict会忽略多余的scope参数并记录警告日志，既兼容了MSAL.js的行为，又保留了对规范的遵循（通过日志提醒潜在问题）。

内容的提问来源于stack exchange，提问作者Alex Klaus