ASP.NET Core中配置Google登录只需在Program.cs调用AddGoogle并填入ClientID和ClientSecret，框架自动实现RFC 6749授权码流程，无需手动处理回调、token交换或state校验。
直接用 AddGoogle、AddGitHub 这类内置扩展方法，别自己拼 URL 或手写 HttpClient 换 token——框架已按 RFC 6749 实现完整授权码流程，硬撸大概率漏掉 state 校验、PKCE、重定向 URI 严格匹配等安全环节。
ASP.NET Core MVC/Razor Pages 怎么配 Google 登录
你不需要注册自己的 OAuth 流程控制器或解析回调 query string。.NET 6+ 中只需在 Program.cs 里调用 AddGoogle 并填好凭据：
-
ClientId和ClientSecret必须从 Google Cloud Console 的 OAuth 凭据页复制，注意选「Web 应用」类型 -
RedirectUri必须与控制台里配置的完全一致，包括协议、端口、路径和尾部斜杠（例如https://localhost:5001/signin-google） - 开发时若用
http://localhost:5000，Google 会拒绝；改用https://localhost:5001并启用 IIS Express SSL，或临时切到https://127.0.0.1:5001 - 默认情况下，用户登录后框架自动把 Google 返回的 claims 映射为
ClaimTypes.Name、ClaimTypes.Email等，无需手动解析 JSON
.NET Minimal API 怎么加 GitHub 登录
Minimal API 没有 Startup.cs，但 AddAuthentication + AddGitHub 依然可用，关键是别漏掉 UseAuthentication 和 UseAuthorization 中间件顺序：
- 必须在
app.UseRouting()之后、app.UseEndpoints()之前调用app.UseAuthentication()，否则[Authorize]不生效 -
AddGitHub默认使用https://github.com/login/oauth/authorize和https://github.com/login/oauth/access_token，不支持自定义域；如需对接私有 GitHub Enterprise，得换AddOAuth手动指定AuthorizationEndpoint和TokenEndpoint - GitHub 返回的 user info 不含 email（除非用户设为公开），要拿到邮箱得额外申请
user:emailscope，并在AddGitHub配置中显式传入：options.Scope.Add("user:email") - 回调地址仍走
/signin-github，该路径不能被其他 endpoint 占用，否则 404 导致登录中断
为什么用 HttpClient 自己换 token 总是 400 invalid_grant
这不是网络问题，而是 OAuth 流程校验失败的典型表现。最常踩的三个坑：
- 没传
redirect_uri，或传的值和注册时不符（比如注册的是https://yoursite.com/auth/callback/，代码里写了https://yoursite.com/auth/callback少了末尾斜杠） - 没在 POST body 里带
grant_type=authorization_code，或拼错了大小写（必须小写） - 用
HttpClient发请求时没设Content-Type: application/x-www-form-urlencoded，导致授权服务器无法解析表单数据 - 更隐蔽的是：部分平台（如 Microsoft Entra ID）要求
code只能用一次，且 10 分钟内有效；调试时反复点登录，旧 code 已失效，但错误提示仍是invalid_grant
真正麻烦的不是“怎么配”，而是“配错后为什么没报具体错”。比如 state 参数不匹配，Google 可能静默跳回首页而不报错；PKCE 缺少 code_verifier，GitHub 直接返回空白页面——这些都不会进你的控制器日志，得开浏览器 Network 面板看重定向链才能定位。
