OpenIddict客户端未将默认作用域传递至身份验证请求

核心原因 #

OpenIddict中OpenIddictClientRegistration.Scopes定义的默认作用域，仅针对需要用户交互的授权流程（如授权码模式），会在跳转授权服务器时自动填充这些作用域。而客户端凭证模式（Client Credentials）属于无用户交互的服务间调用流程，框架设计上不会自动应用注册里的默认作用域，必须显式指定或通过自定义逻辑合并。

解决方法 #

方法1：手动合并默认作用域与传入作用域 #

在调用AuthenticateWithClientCredentialsAsync时，主动从注册信息中获取默认作用域，和传入的作用域合并后再传入方法：

// 获取当前客户端注册信息
var registration = await _openIddictClientManager.GetRegistrationAsync();

// 合并默认作用域与传入的作用域（去重）
var providedScopes = new[] { "custom-scope" }; // 你原本要传入的作用域
var combinedScopes = registration.Scopes.Union(providedScopes).Distinct();

// 调用认证方法
var result = await _openIddictClientService.AuthenticateWithClientCredentialsAsync(combinedScopes);

方法2：通过拦截器自动注入默认作用域 #

注册自定义拦截器，在认证流程中自动合并默认作用域和请求中的作用域，无需每次调用都手动处理：

1. 实现拦截器类：

using OpenIddict.Client;
using OpenIddict.Client.AspNetCore;

public class ClientCredentialsScopeInterceptor : IOpenIddictClientHandlerInterceptor
{
    public ValueTask HandleAsync(ProcessAuthenticationContext context)
    {
        // 仅针对客户端凭证模式处理
        if (context.Request.GrantType != OpenIddictConstants.GrantTypes.ClientCredentials)
        {
            return default;
        }

        // 合并注册中的默认作用域与请求里的作用域
        var defaultScopes = context.Registration.Scopes;
        context.Request.Scopes = defaultScopes
            .Union(context.Request.Scopes ?? Enumerable.Empty<string>())
            .Distinct()
            .ToList();

        return default;
    }
}

2. 在服务配置中注册拦截器：

services.AddOpenIddict()
    .AddClient(options =>
    {
        // 其他客户端配置（如注册信息、端点等）...
        
        // 添加自定义拦截器
        options.AddInterceptor<ClientCredentialsScopeInterceptor>();
    });

这样后续调用AuthenticateWithClientCredentialsAsync时，框架会自动将注册里的默认作用域和你传入的作用域合并。

内容的提问来源于stack exchange，提问作者Robert Davey