IdentityServer4 v4.1.2 MVC客户端Hybrid流关Pkce仍报code_challenge缺失

核心原因 #

• IdentityServer4 v4.x 版本内置强制安全规则：对于配置了ClientSecret的机密客户端，无论单独将RequirePkce设为false，系统都会强制要求授权请求携带code_challenge参数，该规则优先级高于客户端单独配置的关闭项
• .NET Core 3.0+ 内置的OpenIdConnectHandler同样有默认安全逻辑：当检测到响应类型包含code字段（Hybrid流符合该特征）、且客户端配置了ClientSecret时，即使手动设置UsePkce=false，也会自动为机密客户端启用PKCE流程，手动关闭的配置不会生效
• 现有MVC客户端配置的DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme存在逻辑错误：JwtBearer方案用于保护API接口、校验Bearer令牌，不负责跳转IdentityServer发起交互式登录挑战，会导致OIDC参数组装流程异常

推荐修正方案 #

不需要强行关闭PKCE（该机制是官方推荐的安全增强能力，对机密客户端开启无额外副作用），直接调整配置适配系统内置的安全规则即可：

1. IdentityServer端客户端配置：删除RequirePkce = false的设置，使用默认值即可匹配规则
2. MVC端认证配置修正：
   • 修正默认挑战方案为OpenIdConnect对应的方案
   • 删除options.UsePkce = false的手动配置，让Handler自动生成符合要求的PKCE参数
   • 补上缺失的自定义Scope声明

修正后的MVC客户端配置示例 #

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    // 修正：交互式认证挑战使用OpenIdConnect方案
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie(setup => setup.ExpireTimeSpan = TimeSpan.FromMinutes(sessionCookieLifetime))
.AddOpenIdConnect(options =>
{
    options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.Authority = identityUrl.ToString();
    options.SignedOutRedirectUri = callBackUrl.ToString();
    options.ClientId = "mvc";
    options.ClientSecret = "secret";
    options.ResponseType = "code id_token";
    options.SaveTokens = true;
    options.GetClaimsFromUserInfoEndpoint = true;
    options.RequireHttpsMetadata = false;
    options.Scope.Add("openid");
    options.Scope.Add("profile");
    // 匹配IdentityServer端配置的自定义Scope
    options.Scope.Add("things");
    options.Scope.Add("rules");
});

特殊场景处理（确需关闭PKCE） #

如果业务场景确实有强制关闭PKCE的需求，需要同步调整两层配置才能生效：

1. IdentityServer启动时关闭内置的机密客户端PKCE强制规则：

services.AddIdentityServer(options =>
{
    options.Preview.PkceForConfidentialClients = false;
})
// 后续配置密钥、资源、客户端等逻辑

2. 保留MVC端的options.UsePkce = false配置、以及客户端侧的RequirePkce = false配置，此时两端的PKCE关闭逻辑才会真正穿透所有内置安全校验规则生效。

内容的提问来源于stack exchange，提问作者Ayush Agarwal