Azure DevOps REST API是否支持带PKCE的OAuth 2身份验证

核心结论 #

Azure DevOps REST API 已经支持采用 PKCE 的 OAuth 2.0 身份验证方式，该功能当前处于可用状态，仅未在公开官方文档中更新相关说明，可正常用于生产环境对接。

对接注意事项 #

• PKCE 流程仅支持公共客户端（无客户端密钥的原生应用、单页应用等）使用，机密客户端仍推荐使用原有带客户端密钥的 OAuth 验证流程
• 发起授权请求时，除常规 OAuth 2.0 参数外，需要额外传入 code_challenge 和 code_challenge_method 参数，挑战方法仅支持 S256 格式，不支持明文 plain 格式
• 用授权码换取访问令牌时需要额外传入 code_verifier 参数，所有参数规则完全兼容 RFC 7636 标准要求
• 最终生成的访问令牌的权限范围、有效期与常规 OAuth 流程获取的令牌完全一致，调用 REST API 时没有任何差异

实测过程中如果遇到参数校验报错，可以优先检查 code_challenge 的编码是否符合标准要求，大多数对接失败问题都是挑战值编码格式不规范导致。

内容的提问来源于stack exchange，提问作者Mike-S122