使用AppAuth对接IdentityServer3时PKCE令牌请求返回无效客户端

我来帮你梳理这个问题的常见排查方向和解决方法，结合你给出的客户端配置细节，逐一分析：

1. 确认PKCE参数是否正确传递 #

你配置的客户端流程是Flows.AuthorizationCodeWithProofKey，这要求请求必须携带PKCE相关参数（code_challenge和code_challenge_method）。IdentityServer3对该流程的客户端会严格校验这些参数，若缺失或格式错误，会直接返回“无效客户端”。

• 检查AppAuth的请求配置：AppAuth通常会自动生成PKCE参数，但如果是手动构建请求，确保已正确设置code_challenge（推荐使用S256哈希算法）和对应的方法。
• 抓包查看授权请求和令牌请求的参数，确认PKCE参数存在且格式合规。

2. 校验RedirectUris的一致性 #

RedirectUris的配置必须和AppAuth实际使用的重定向URI完全匹配，包括自定义scheme（如app:/）、路径、大小写等。IdentityServer3对重定向URI的匹配是严格的，任何细微差异都会触发“无效客户端”。

• 打印AppAuth中使用的redirect_uri，和你配置的RedirectUris列表逐一对比，确保完全一致。

3. 调整AllowAccessTokensViaBrowser配置 #

你设置了AllowAccessTokensViaBrowser = true，但这个选项主要针对浏览器端/JS客户端，而PKCE是原生应用的安全流程，不需要开启该选项。错误的配置可能导致服务器判定客户端不符合流程要求：

• 将AllowAccessTokensViaBrowser修改为false，重新测试。

4. 检查自定义客户端验证逻辑 #

如果你在IdentityServer3中添加了自定义的IClientValidator实现，可能存在额外的校验逻辑拦截了PKCE客户端的请求：

• 排查服务端的自定义验证代码，确认没有针对AuthorizationCodeWithProofKey流程的不合理限制。

5. 确认ClientId的正确性 #

确保AppAuth在令牌请求中传递的client_id参数和你配置的ClientId = "app"完全一致，包括大小写（IdentityServer3的ClientId默认区分大小写）：

• 抓包查看令牌请求中的client_id字段，确认无拼写错误或格式问题。

6. 验证IdentityServer3版本兼容性 #

AuthorizationCodeWithProofKey流程是IdentityServer3后续版本引入的特性，若你使用的版本过旧，可能不支持该流程，导致无法识别客户端配置：

• 升级到IdentityServer3的最新稳定版本（至少是支持PKCE的版本），再进行测试。

内容的提问来源于stack exchange，提问作者KwaXi