Bruno OAuth2 PKCE流程中的请求格式问题解析

Bruno是一款流行的API测试工具，在2.0.0和2.0.1版本中存在一个影响OAuth2 PKCE流程的重要问题。本文将详细分析该问题的技术细节、影响范围以及解决方案。

问题背景

在OAuth2的PKCE(Proof Key for Code Exchange)流程中，当进行令牌获取阶段时，Bruno会错误地将请求体格式处理为JSON，而实际上应该使用标准的application/x-www-form-urlencoded格式。具体表现为：

1. 请求头声明为Content-type: application/x-www-form-urlencoded
2. 但实际发送的请求体却是JSON格式

这种不一致性导致与某些OAuth2服务提供商(如Azure Entra ID)的交互失败。

技术细节分析

OAuth2规范明确要求令牌端点应接收application/x-www-form-urlencoded格式的请求。正确的格式应该是键值对形式，如：

grant_type=authorization_code&code=xxx&redirect_uri=xxx&client_id=xxx&code_verifier=xxx&scope=openid

而Bruno的错误实现将其转换为JSON格式：

{
  "grant_type": "authorization_code",
  "code": "xxx",
  "redirect_uri": "xxx",
  "client_id": "xxx",
  "code_verifier": "xxx",
  "scope": "openid"
}

这种格式不匹配会导致服务端无法正确解析请求参数。

影响范围

该问题主要影响：

1. 使用PKCE流程的OAuth2认证
2. 特别是与Azure Entra ID(原Azure AD)的集成
3. 配置为单页应用(SPA)的服务主体

解决方案

Bruno团队已在夜间构建版本中修复了此问题。用户可以通过以下方式解决：

1. 更新到包含修复的夜间构建版本
2. 对于Azure Entra ID的特殊情况，可能需要额外添加Origin请求头，其值应与重定向URL的协议和主机部分相同

最佳实践建议

在使用Bruno进行OAuth2测试时，建议：

1. 始终验证请求的实际内容和声明的Content-type是否匹配
2. 对于云服务提供商(如Azure)的特殊要求，注意检查是否需要额外头部
3. 定期更新到最新稳定版本以获取问题修复

该问题的修复显著提升了Bruno在OAuth2/PKCE流程测试中的兼容性和可靠性，特别是对于企业级身份验证服务的集成场景。