使用“Auth Code Flow + PKCE”时来自令牌端点的 CORS 错误

Posted 2023-02-25

【中文标题】使用“Auth Code Flow + PKCE”时来自令牌端点的 CORS 错误

【英文标题】：CORS error from token endpoint when using "Auth Code Flow + PKCE"

【发布时间】：2020-07-31 03:42:34

【问题描述】：

我正在尝试通过redux-oidc 包使用Auth Code Flow + PKCE 流。一切正常，直到访问令牌的最终 POST 请求，当返回 CORS 错误时：“从源 'http://localhost:3000' 对 XMLHttpRequest 的访问已被 CORS 策略阻止：没有'访问控制-Allow-Origin' 标头出现在请求的资源上。”

来自related question的答案：

“OneLogin 仅支持 CORS 生成会话令牌。” “如果您必须从客户端对用户进行身份验证...请使用 OpenId Connect 隐式流程或授权码流程 + PKCE。”

如果令牌端点不支持 CORS，我不清楚如何从客户端使用 Auth Code + PKCE 流。

【参考方案1】：

OneLogin OpenId Connect 服务目前不支持 Auth Code + PKCE 流上的 CORS。但是，计划在 2020 年 4 月的最后一周发布一个启用 CORS 的版本。