OAuth2.0授权码流程需严格分三步执行且每步有签名、编码、头字段及时序要求，手动拼HttpClient请求易因redirect_uri不一致、PKCE不匹配或缺少Accept头等导致失败。
为什么用 HttpClient 手动拼 OAuth2.0 请求总失败
因为 OAuth2.0 授权码流程（Authorization Code Flow）不是“发个 POST 就完事”，它分三步：重定向用户到授权页 → 拿到 code → 用 code 换 access_token，且每步都有严格签名、编码、头字段和时序要求。手动构造容易漏掉 redirect_uri 必须完全一致、code_verifier 和 code_challenge 不匹配、或没设 Accept: application/json 导致返回 HTML 错误页。
实操建议：
- 别自己拼
HttpClient.PostAsync的 body 字符串，用FormUrlEncodedContent包装键值对，避免手动 URL 编码出错 -
redirect_uri必须和你在 OAuth 平台（如 Azure AD、Auth0）注册的一模一样，包括末尾斜杠、协议、端口——哪怕本地开发用http://localhost:5000/callback，注册时写成http://localhost:5000/callback/就会报invalid_redirect_uri - 如果平台要求 PKCE（现在绝大多数都强制），必须生成
code_verifier（32 字节随机 Base64Url 编码字符串），再算出code_challenge（SHA256 + Base64Url），并在授权请求和令牌请求中分别带上
Microsoft.Identity.Client（MSAL）能省多少事
它不是“可选库”，而是目前 C# 生产环境事实标准。它自动处理 PKCE、token 缓存、刷新逻辑、多租户、条件访问（CA）、设备码流（Device Code Flow）等，你只需声明配置，不用碰 HTTP 细节。
实操建议：
- 用
PublicClientApplicationBuilder构建客户端时，.WithRedirectUri("http://localhost")是开发默认值，但正式部署必须换成真实回调地址，否则登录后跳转失败 - 调用
AcquireTokenInteractive前，先检查缓存：var accounts = await app.GetAccountsAsync();，有账号就走AcquireTokenSilent，避免每次弹窗 - 捕获
MsalUiRequiredException表示需要用户介入（如密码过期、MFA），而不是直接重试；捕获MsalServiceException且ErrorCodes含invalid_grant，大概率是refresh_token过期或被吊销
ASP.NET Core 中 AddMicrosoftIdentityWebApp 为什么总跳不过登录页
常见原因是中间件顺序错、认证方案未启用、或策略配置不匹配。这个扩展方法本质是帮你注册 Cookie 认证 + OpenID Connect 认证，但不会自动拦截所有请求——你得显式加 [Authorize] 或配置默认策略。
实操建议：
- 确保
app.UseAuthentication()在app.UseAuthorization()之前，且都在UseRouting之后、UseEndpoints之前 - 检查
Startup.ConfigureServices中是否调用了services.AddControllersWithViews().AddMicrosoftIdentityUI();—— 缺少这句，/MicrosoftIdentity/Account登录路由根本不存在 - 如果用了自定义策略（如
RequireAuthenticatedUser），确认services.AddAuthorization(options => options.FallbackPolicy = options.DefaultPolicy)已设，否则匿名请求会直接 401 而非跳转登录
拿到 access_token 后调 API 总是 401，但 token 看起来是有效的
Token 有效 ≠ 权限足够。OAuth2.0 的 access_token 是 JWT，但它是否能访问某 API，取决于三个独立控制层：token 签发时的 scope（如 https://graph.microsoft.com/User.Read）、API 自身的权限校验逻辑（比如是否检查 aud 声明）、以及资源服务器是否信任签发方（即是否配置了正确的 JWKS endpoint 和 issuer）。
实操建议：
- 用
jwt.ms解码 token，确认aud（audience）和目标 API 预期的aud完全一致——Azure AD 的 Graph API 要求aud是https://graph.microsoft.com，而你的自建 API 可能要求是api://your-client-id - 检查 token 的
scp（scope）声明是否包含 API 所需的最小权限，比如调用/me/photo需要User.Read和Files.Read，缺一不可 - 如果你的 API 是 ASP.NET Core，用
AddMicrosoftIdentityWebApi注册时，options.Authority必须指向同一租户的 v2.0 endpoint（如https://login.microsoftonline.com/{tenant}/v2.0），不能混用 v1.0
最常被忽略的是 scope 和 audience 的精确匹配——它们不是前缀匹配，是完整字符串相等。一个字母、一个斜杠不对，就是 401。
