Flutter使用openid_client对接Keycloak PKCE认证失败如何解决？

问题根因 #

Keycloak日志提示PKCE enforced Client without code challenge method，说明你的授权请求没有携带PKCE要求的code_challenge和code_challenge_method参数，和Postman的请求对比也能验证这一点，和重定向URL配置没有直接关联。
openid_client库已经内置了PKCE能力，不需要你手动生成挑战值，只需要在构造Authenticator时显式指定挑战方法即可。

解决方法 #

修改你代码中Authenticator的构造逻辑，添加codeChallengeMethod参数，值和你Keycloak中配置的S256对应即可：

var authenticator = Authenticator(
    client,
    scopes: scopes,
    port: port,
    urlLancher: urlLauncher,
    redirectUri: redirectUri,
    // 新增这一行开启PKCE
    codeChallengeMethod: "S256",
);

额外注意事项 #

如果修改后依然有问题，检查以下三点：

• 确认你使用的openid_client是最新稳定版，旧版本可能不支持codeChallengeMethod参数。
• 检查Authenticator的参数名拼写，正确的回调参数名是urlLauncher，你代码中写的urlLancher拼写错误可能会导致回调逻辑异常。
• 如果你是在iOS真机/模拟器上运行，使用http://localhost:4200作为重定向地址只适用于Web端场景，App端建议改用自定义Scheme作为重定向地址：
  • 重定向URI改为类似com.your.package.name:/oauthredirect的格式
  • Keycloak客户端的Valid Redirect URIs同步添加该地址
  • 代码中构造Authenticator时移除port参数，自定义Scheme不需要监听端口

内容的提问来源于stack exchange，提问作者midi