.NET 4.8迁移.NET 6时IdentityServer4报invalid_grant错误

核心原因分析 #

这个问题本质是同一授权码被重复提交兑换令牌触发的invalid_grant异常。主要因为.NET 6的OpenID Connect中间件默认行为和.NET Framework 4.8存在差异，或是自定义事件逻辑导致了重复兑换操作。

具体排查与修复方案 #

1. 检查OnAuthorizationCodeReceived事件的自定义逻辑 #

如果在该事件中手动调用了tokenClient.RequestAuthorizationCodeTokenAsync这类兑换接口，.NET 6的中间件会自动再执行一次兑换操作，直接导致同一个授权码被使用两次。

• 修复：移除事件内手动兑换令牌的代码，让中间件自动处理。如果需要自定义令牌处理逻辑，改用OnTokenValidated事件。

2. 对齐OpenID Connect中间件配置差异 #

.NET 6中AddOpenIdConnect的默认配置和.NET 4.8有不少变化，重点检查：

• 确保开启UsePkce = true：IdentityServer4推荐使用PKCE模式，能从根源避免授权码被劫持重复使用；
• 确认CallbackPath和IdentityServer4客户端配置的回调地址完全一致，路径大小写、后缀都不能错，避免重定向过程中触发重复请求；
• 检查SaveTokens配置：如果不需要持久化令牌可以关闭，若需要则确保配置逻辑正确。

3. 排查持久化授权的清理逻辑 #

如果用了IPersistedGrantStore的EF实现，检查是否有自定义逻辑提前移除了授权码：

• 确认授权码的过期时间设置正确（默认5分钟），不要有提前清理未过期记录的后台任务；
• 核对数据库中授权码记录的生命周期，是否在首次兑换后被正常标记为已使用，而非被误删除。

4. 检查重定向环节的重复请求 #

登录后的重定向可能因前端或服务器配置问题触发两次回调：

• 查看前端代码是否有重复跳转的逻辑；
• 检查服务器日志，确认/signin-oidc这类回调接口是否收到两次携带相同授权码的请求。

修正后的Startup配置示例 #

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    options.Authority = "https://your-identityserver-domain";
    options.ClientId = "your-client-id";
    options.ClientSecret = "your-client-secret";
    options.ResponseType = "code";
    options.UsePkce = true;
    options.SaveTokens = true;
    options.CallbackPath = "/signin-oidc";

    // 移除以手动兑换逻辑，改用OnTokenValidated处理自定义逻辑
    options.OnTokenValidated = context =>
    {
        // 示例：获取并处理用户信息
        var userId = context.Principal.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        // 自定义业务逻辑...
        return Task.CompletedTask;
    };
});

内容的提问来源于stack exchange，提问作者CompSciFly