Azure AD B2C自定义策略配置OIDC IDP（PKCE授权码流）授权请求缺code_challenge参数问题

存在明确的配置遗漏，核心原因是Azure AD B2C在对接外部OpenID Connect身份提供商时，默认不会为和上游IDP之间的授权码流自动添加PKCE相关参数，需要在自定义策略的对应技术剖面里显式开启配置。

这里需要澄清一个常见的认知误区：你当前在Angular SPA和B2C之间配置的PKCE，只覆盖「前端应用 <-> B2C」这一段认证链路，B2C和外部IDP之间的OAuth流程是完全独立的第二段链路，PKCE参数不会跨链路自动继承。
你绕过B2C直接调用IDP时流程正常，是因为SPA本身已经内置了PKCE参数生成逻辑；但当请求经过B2C中转时，B2C作为独立的OAuth客户端，自身未开启PKCE能力，自然不会在发往IDP的请求中携带对应参数，最终触发IDP侧的参数缺失报错。

在当前OIDC-User技术剖面的Metadata节点下，缺少两个关键配置：

• 开启B2C对接外部IDP的PKCE支持：添加<Item Key="UsePkce">true</Item>，开启后B2C会自动生成加密随机的code_verifier，计算对应的code_challenge值，并在发起授权请求时自动携带
• 显式指定PKCE的哈希方法：添加<Item Key="code_challenge_method">S256</Item>，避免B2C默认使用的plain方法被强制要求S256的IDP拒绝

<Metadata>
  <Item Key="METADATA">https://idp/.well-known/openid-configuration</Item>
  <Item Key="client_id">clientid</Item>
  <Item Key="response_types">code</Item>
  <Item Key="scope">openid email</Item>
  <Item Key="response_mode">form_post</Item>
  <Item Key="HttpBinding">POST</Item>
  <Item Key="UsePolicyInRedirectUri">false</Item>
  <!-- 新增的PKCE配置 -->
  <Item Key="UsePkce">true</Item>
  <Item Key="code_challenge_method">S256</Item>
</Metadata>

• 开启PKCE配置后，B2C会自行存储生成的code_verifier，在后续拿授权码换access_token的流程中自动完成校验，不需要手动编写代码或者 claims 变换处理
• 测试时可以通过浏览器开发者工具，在B2C重定向到IDP的授权端点请求中，确认code_challenge、code_challenge_method两个参数已正常携带
• 如果仍然报参数缺失，检查IDP的开放配置里是否声明支持S256的PKCE方法，避免配置的哈希方法和IDP要求不匹配

内容的提问来源于stack exchange，提问作者Chintan Bhatt