Nuxt @nuxtjs/auth-next请求Azure AD token未携带client_secret问题

问题原因 #

配置中设置了codeChallengeMethod: 'S256'，即启用OAuth2 PKCE授权流。@nuxtjs/auth-next的oauth2方案默认逻辑为：只要开启S256 PKCE校验，就判定当前为公共客户端（如纯前端SPA）场景，自动跳过client_secret参数注入，符合公共客户端不能持有密钥的安全规范。
通过loginWith方法传入的params仅会拼接到授权页跳转的URL参数中，不会带入后续code换token的POST请求，因此之前的传参写法不生效。

解决方案 #

根据实际应用部署类型选择对应方案即可：

• 方案1：SSR机密客户端场景（密钥不会暴露到前端）
  直接删除配置中的codeChallengeMethod: 'S256'字段，模块会自动切换为标准授权码流，读取配置中预填的clientSecret字段，自动拼接到token请求的payload中。
  调整后的核心配置参考：

msalAzure: {
    scheme: 'oauth2',
    endpoints: {
      authorization: `${process.env.VUE_APP_AZURE_AUTHORITY}/oauth2/v2.0/authorize`,
      token: `${process.env.VUE_APP_AZURE_AUTHORITY}/oauth2/v2.0/token`,
    },
    token: {
      property: 'access_token',
      type: 'Bearer',
      maxAge: 1800,
      global: true,
    },
    refreshToken: {
      property: 'refresh_token',
      maxAge: 60 * 60 * 24 * 30,
    },
    responseType: 'code',
    responseMode: 'query',
    grantType: 'authorization_code',
    accessType: 'offline',
    redirectUri: process.env.VUE_APP_AZURE_REDIRECT_URI,
    clientId: process.env.VUE_APP_AZURE_AD_CLIENT_ID,
    clientSecret: process.env.VUE_APP_AZURE_SECRET,
    // 移除S256配置项
    // codeChallengeMethod: 'S256',
    scope: ['offline_access', 'openid', 'profile', 'User.Read'],
    autoLogout: false,
}

注意：该方案仅适用于SSR服务端渲染场景，如果项目是纯静态部署的SPA，禁止将client_secret写入前端代码，会存在严重密钥泄露风险，这类场景请使用方案2。

• 方案2：纯前端静态部署SPA场景
  纯前端场景属于公共客户端，不能也不需要使用client_secret。保留原有codeChallengeMethod: 'S256'配置，删除配置中的clientSecret字段，同时前往Azure AD应用注册后台，将当前应用的平台类型修改为「单页应用程序」即可，Azure AD会直接接受带PKCE校验的授权码换token请求，无需传递client_secret。

• 方案3：特殊场景需同时保留S256 PKCE和client_secret传参
  如果业务有特殊要求必须同时传递PKCE校验参数和client_secret，可以通过扩展原有scheme的方式手动注入token请求参数：

1. 在项目plugins目录下新建auth-azure.js插件文件：

export default function ({ $auth }) {
  const targetScheme = $auth.strategies.msalAzure.scheme
  const originRequestToken = targetScheme.requestToken.bind(targetScheme)
  targetScheme.requestToken = function (code) {
    return originRequestToken(code, {
      client_secret: process.env.VUE_APP_AZURE_SECRET
    })
  }
}

2. 在nuxt.config.js的plugins配置项中注册该插件，确保插件加载顺序在@nuxtjs/auth-next之后。

内容的提问来源于stack exchange，提问作者Creoad