OAuth2.0授权码存储位置？C# RestSharp获取授权码位置排查

核心问题 #

你当前的代码存在两个关键错误，导致无法获取授权码：

1. 请求方式错误：OAuth2.0授权码流程的授权请求必须用GET方式，而非POST。授权服务器的授权端点通常仅支持GET请求来发起授权流程。
2. 缺少用户交互环节：授权码流程需要用户在浏览器中完成登录、授权操作，授权服务器才会将用户重定向到你的redirect_uri并在Query参数中携带code。你直接用RestClient在后台发起请求，没有用户参与，授权服务器只会返回授权页面的内容，不会触发重定向。

授权码的正确位置 #

你找错了授权码的位置——当前代码的ResponseUri里不会有授权码，因为流程根本没走到返回授权码的环节。只有当用户完成授权操作后，授权服务器才会重定向到你指定的redirect_uri，此时**redirect_uri的Query参数中才会包含code**。

修正后的实现思路 #

1. 构造合法的授权URL #

先把授权参数拼接成GET请求的Query字符串，生成可让用户访问的授权URL：

static string BuildAuthUrl(string authUri, string clientId, string scope, Guid state, string callbackUri)
{
    var queryParams = new Dictionary<string, string>
    {
        {"client_id", clientId},
        {"response_type", "code"},
        {"scope", scope},
        {"state", state.ToString()},
        {"redirect_uri", callbackUri}
    };

    var queryString = string.Join("&", queryParams.Select(kv => $"{Uri.EscapeDataString(kv.Key)}={Uri.EscapeDataString(kv.Value)}"));
    return $"{authUri}?{queryString}";
}

2. 引导用户授权并监听回调 #

需要启动一个本地HTTP服务接收授权服务器的重定向请求，从中提取授权码：

static async Task<string> GetAuthCodeViaBrowser(string authUri, string clientId, string scope, Guid state, string callbackUri)
{
    // 生成授权URL并打开浏览器让用户操作
    var authUrl = BuildAuthUrl(authUri, clientId, scope, state, callbackUri);
    System.Diagnostics.Process.Start(new System.Diagnostics.ProcessStartInfo(authUrl) { UseShellExecute = true });

    // 监听回调地址
    using var listener = new HttpListener();
    listener.Prefixes.Add(callbackUri + "/");
    listener.Start();

    // 等待授权服务器的重定向请求
    var context = await listener.GetContextAsync();
    var query = context.Request.QueryString;
    var code = query.Get("code");
    var returnedState = query.Get("state");

    // 验证state防止CSRF攻击
    if (returnedState != state.ToString())
        throw new Exception("State验证失败，可能存在CSRF攻击");

    // 给浏览器返回授权完成的提示
    var response = context.Response;
    var responseString = "<html><body>授权完成，可关闭此页面</body></html>";
    var buffer = System.Text.Encoding.UTF8.GetBytes(responseString);
    response.ContentLength64 = buffer.Length;
    var output = response.OutputStream;
    await output.WriteAsync(buffer, 0, buffer.Length);
    output.Close();

    listener.Stop();
    return code;
}

关键注意事项 #

• 确保redirect_uri是授权服务器已注册的合法地址，本地测试可使用http://localhost:xxxx/callback这类地址。
• 必须验证state参数，防止跨站请求伪造（CSRF）攻击。
• 授权码只能使用一次，获取后需立即通过POST请求到令牌端点换取访问令牌。

内容的提问来源于stack exchange，提问作者user2148983