OWIN授权码流始终返回"invalid_request"（400错误请求）求助

看起来你在配置OWIN授权码流时碰到了这个常见的400错误，我帮你梳理几个最可能的原因和解决办法：

1. 授权请求的核心参数缺失 #

授权码流的/oauth/authorize端点必须包含几个必填参数，少一个都会触发invalid_request：

• 必须指定response_type=code（明确告诉服务器使用授权码模式）
• 要带上合法的client_id
• 提供与客户端预注册一致的redirect_uri

举个合法的授权请求示例：

GET /oauth/authorize?response_type=code&client_id=your_registered_client_id&redirect_uri=https://your-app.com/auth-callback

另外，如果你的服务器配置了AllowInsecureHttp = false（默认值），但用HTTP发起请求也会报错，测试阶段可以临时设为true，生产环境务必使用HTTPS。

2. 自定义Provider的实现不完整 #

你的MyOAuthAuthorizationServerProvider必须正确实现两个关键方法，否则服务器会直接拒绝请求：

• ValidateClientAuthenticationAsync：负责验证客户端的合法性（比如client_id和client_secret），验证通过后必须调用context.Validated()
• ValidateClientRedirectUriAsync：确保请求中的redirect_uri和客户端预注册的地址一致，通过后调用context.Validated(redirectUri)

给你一个基础的正确实现参考：

public override async Task ValidateClientAuthentication(OAuthValidateClientAuthenticationContext context)
{
    string clientId;
    string clientSecret;
    if (context.TryGetBasicCredentials(out clientId, out clientSecret))
    {
        // 替换成你的客户端验证逻辑，比如从数据库查询合法客户端
        if (IsValidClient(clientId, clientSecret))
        {
            context.Validated(clientId);
            return;
        }
        context.SetError("invalid_client", "客户端凭证无效");
    }
    else
    {
        context.SetError("invalid_request", "未提供客户端凭证");
    }
}

public override async Task ValidateClientRedirectUri(OAuthValidateClientRedirectUriContext context)
{
    // 验证redirect_uri是否与预注册的匹配
    if (IsValidRedirectUri(context.ClientId, context.RedirectUri))
    {
        context.Validated(context.RedirectUri);
        return;
    }
    context.SetError("invalid_redirect_uri", "重定向地址不合法");
}

3. 缺少AuthorizationCodeProvider配置 #

你提供的代码里只配置了RefreshTokenProvider，但授权码流必须要有AuthorizationCodeProvider来生成和验证授权码。如果没配置，OWIN无法处理授权码的生成逻辑，直接返回400。

可以用默认的AuthenticationTokenProvider快速配置：

opt.AuthorizationCodeProvider = new AuthenticationTokenProvider
{
    OnCreate = context =>
    {
        // 生成唯一授权码，默认逻辑已经足够安全
        context.SetToken(Guid.NewGuid().ToString("n"));
    },
    OnReceive = context =>
    {
        // 验证授权码的有效性，这里可以结合缓存/数据库存储实现
        context.Validated(context.Token);
    }
};

4. 获取令牌的请求格式错误 #

当你用授权码换取令牌时（调用/oauth/token），必须满足：

• 请求方法为POST
• Content-Type设置为application/x-www-form-urlencoded
• 参数包含grant_type=authorization_code、code=获取到的授权码、redirect_uri=和授权请求一致的地址

示例请求：

POST /oauth/token
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&code=your_received_auth_code&redirect_uri=https://your-app.com/auth-callback&client_id=your_client_id

如果以上排查都没问题，建议你补充MyOAuthAuthorizationServerProvider的完整代码，以及具体的请求日志（包括请求头、参数），这样能更精准定位问题。

内容的提问来源于stack exchange，提问作者silentman.it