C#桌面应用集成Discord OAuth2登录请求异常如何解决

你当前的实现从流程到接口调用方式全错，返回HTML页面不是Cloudflare拦截，是请求本身不符合Discord OAuth2的规则：

• /oauth2/authorize是供用户在浏览器中完成授权交互的前端页面端点，仅支持GET请求，不接受请求头传入的client_id、client_secret，也不需要携带Bot token，直接用HttpClient请求该地址必然返回HTML页面内容。
• 你之前用WebBrowser控件加载失败，是因为Discord返回头携带X-Frame-Options: DENY，明确禁止将授权页面嵌入iframe/嵌入式浏览器控件，且默认WebBrowser控件使用IE内核，无法兼容Discord现代前端页面。

前置配置 #

• 打开Discord开发者门户，进入你的应用OAuth2配置页，添加本地环回重定向地址，格式为http://localhost:自定义端口，桌面应用不需要部署公网回调服务，该地址仅用于本地接收授权码。
• 记录应用的client_id、client_secret，不要硬编码在公开分发的程序里。

实现流程 #

1. 不要使用嵌入式WebBrowser控件，直接调用系统默认浏览器打开授权地址，构造规则为GET请求，参数拼接在URL中：

   https://discord.com/oauth2/authorize?client_id=你的client_id&redirect_uri=UrlEncode后的本地重定向地址&response_type=code&scope=identify
   

   该方式既符合Discord的安全策略不会被拦截，也能复用用户浏览器的已登录状态，减少用户输入，同时避免程序接触用户账号密码。
2. 在程序内使用.NET内置的HttpListener监听你配置的本地端口，等待用户完成授权后Discord自动跳转回本地地址，从跳转URL的查询参数中提取code授权码。
   核心实现代码：

   // 配置参数
   const string clientId = "你的应用client_id";
   const string clientSecret = "你的应用client_secret";
   const string redirectUri = "http://localhost:5000/callback"; // 和后台配置完全一致
   var listenPrefix = redirectUri.EndsWith('/') ? redirectUri : redirectUri + "/";
   
   // 启动本地监听
   using var httpListener = new HttpListener();
   httpListener.Prefixes.Add(listenPrefix);
   httpListener.Start();
   
   // 拉起系统默认浏览器打开授权页
   Process.Start(new ProcessStartInfo(
       $"https://discord.com/oauth2/authorize?client_id={clientId}&redirect_uri={Uri.EscapeDataString(redirectUri)}&response_type=code&scope=identify")
   {
       UseShellExecute = true
   });
   
   // 等待授权回调
   var context = await httpListener.GetContextAsync();
   var authCode = context.Request.QueryString["code"];
   
   // 给浏览器返回授权完成提示
   const string successHtml = "<html><body style='padding:2rem'><h3>授权完成，请返回应用</h3></body></html>";
   var buffer = Encoding.UTF8.GetBytes(successHtml);
   context.Response.ContentLength64 = buffer.Length;
   await context.Response.OutputStream.WriteAsync(buffer);
   context.Response.Close();
   httpListener.Stop();
   

3. 拿到授权码后，向Discord OAuth2的token端点发起POST请求换取access_token，注意该步骤参数需要以application/x-www-form-urlencoded格式放在请求体中，不要放在请求头，也不需要携带Bot token。
   代码示例：

   using var httpClient = new HttpClient();
   var formContent = new FormUrlEncodedContent(new Dictionary<string, string>
   {
       {"client_id", clientId},
       {"client_secret", clientSecret},
       {"grant_type", "authorization_code"},
       {"code", authCode},
       {"redirect_uri", redirectUri}
   });
   
   var tokenResp = await httpClient.PostAsync("https://discord.com/api/v10/oauth2/token", formContent);
   tokenResp.EnsureSuccessStatusCode();
   // 解析返回的token
   var tokenData = await tokenResp.Content.ReadFromJsonAsync<DiscordTokenResult>();
   // 拿到access_token后即可调用Discord接口获取用户信息
   

   对应解析类：

   public class DiscordTokenResult
   {
       [System.Text.Json.Serialization.JsonPropertyName("access_token")]
       public string AccessToken { get; set; }
       [System.Text.Json.Serialization.JsonPropertyName("token_type")]
       public string TokenType { get; set; }
       [System.Text.Json.Serialization.JsonPropertyName("expires_in")]
       public int ExpiresIn { get; set; }
       [System.Text.Json.Serialization.JsonPropertyName("scope")]
       public string Scope { get; set; }
   }
   

• 请求方法错误：/oauth2/authorize仅支持GET请求，你使用POST方法请求不符合接口规则。
• 参数位置错误：client_id、client_secret是换取token阶段的参数，需要放在POST请求体中，不需要在访问授权页阶段传递，更不能放在请求头里。
• 鉴权参数错误：用户OAuth2授权流程和Bot鉴权完全独立，不需要携带Bot token。
• 流程逻辑错误：OAuth2授权码流程必须经过用户在浏览器端的交互确认，无法跳过该步骤直接通过后端HTTP请求拿到授权结果。
• 控件使用错误：嵌入式WebBrowser控件会触发Discord的X-Frame-Options安全拦截，且IE内核对现代页面兼容性差，无法正常加载授权页。

内容的提问来源于stack exchange，提问作者miyano