Azure AD授权码模式生成访问令牌遇Code_Verifier不匹配错误求助

1. 前端PKCE参数的生成与传递检查 #

• 确认@azure/msal-browser是否正确生成并保留PKCE参数：
  msal-browser在授权码流程下默认启用PKCE，会自动生成code_verifier和code_challenge。需确保获取授权码后，将**同一会话内生成的code_verifier**与授权码一起传递给后端。
  • 获取code_verifier的方式：可从msal的AuthenticationResult或关联的请求缓存中提取，若自定义了PKCE配置，需在发起授权请求时手动存储该参数。
• 禁止传递过程中修改code_verifier，必须原样传递，任何编码、截断操作都会导致验证不匹配。

2. 后端令牌兑换时的参数校验 #

• 确保Symfony的networg/oauth2-azure包调用令牌接口时，正确传入前端传递的code_verifier：
  构建token请求时需显式传入该参数，示例代码如下：

  $provider = new \Networg\OAuth2\Client\Provider\Azure([
      'clientId'          => '{你的客户端ID}',
      'clientSecret'      => '{你的客户端密钥}',
      'redirectUri'       => '{你的重定向地址}',
  ]);
  
  $token = $provider->getAccessToken('authorization_code', [
      'code' => $_POST['code'],
      'code_verifier' => $_POST['code_verifier'] // 必须传入前端传递的verifier
  ]);
  

  • 排查是否存在后端自行生成code_verifier而非使用前端传递值的错误，这是引发该问题的常见原因。

3. PKCE算法一致性检查 #

• 确认前后端使用的PKCE哈希算法一致：msal-browser默认用S256生成code_challenge，后端需同步使用该算法。networg/oauth2-azure包默认支持S256，但需确保未手动修改为plain模式（除非前端也同步配置）。
  若前端自定义了PKCE算法，需在AuthorizationCodeRequest中指定codeChallengeMethod，并同步到后端配置。

4. 会话与参数一致性检查 #

• 确保授权码与对应的code_verifier来自同一用户会话：若前端多次发起授权请求生成不同PKCE参数，传递旧code_verifier与新授权码会导致验证失败。
• 排查跨域或缓存问题，避免后端接收到的code_verifier与当前授权码不匹配。

5. 调试与日志排查 #

• 在前端添加日志，记录生成的code_verifier和code_challenge，确认传递给后端的值准确无误。
• 在后端开启OAuth包的调试日志，查看发送给Azure AD的token请求参数，确认code_verifier是否正确包含在请求中。

内容的提问来源于stack exchange，提问作者Khali