OAuth2.0 授权码模式回调地址不匹配报错 invalid_redirect_uri 怎么处理？

出现 invalid_redirect_uri 报错，最直接的原因是授权请求中携带的回调地址与你在授权服务器后台注册的地址不完全一致，必须逐字符匹配才能通过。

先说结论：这是 OAuth2.0 的标准安全校验机制，解决方法是确保代码中配置的回调地址与提供方控制台注册的地址严格一致，包括协议、域名、端口和路径。

先确认：登录授权提供方控制台，核对已注册的 Redirect URI 列表。
先处理：检查代码配置中的回调地址，修正大小写、末尾斜杠或协议头差异。
再验证：重新发起授权请求，观察是否仍返回相同错误码。

快速排查步骤

该问题核心在于配置一致性，请按以下顺序核对：

找到项目中配置 OAuth Client ID 和 Secret 的文件（如 application.yml 或 .env）。
搜索 redirect_uri 或 callback_url 相关配置项。
将该值与 Google/GitHub/微信等开放平台后台填写的地址进行文本比对。
注意：部分平台支持通配符，但大多数要求精确匹配。

主流框架配置示例

不同框架获取回调地址的方式不同，以下是常见配置写法，请对照检查：

Spring Security (application.yml)

spring:
  security:
    oauth2:
      client:
        registration:
          google:
            redirect-uri: "https://your-domain.com/login/oauth2/code/google"

注意：Spring Boot 2.x 及以上版本默认使用此配置路径，确保没有多余的空格或引号。

OAuth2.0 授权码模式回调地址不匹配报错 invalid_redirect_uri 怎么处理？

Node.js (passport-oauth2)

passport.use(new OAuth2Strategy({
    authorizationURL: 'https://provider.com/oauth/authorize',
    tokenURL: 'https://provider.com/oauth/token',
    clientID: process.env.CLIENT_ID,
    clientSecret: process.env.CLIENT_SECRET,
    callbackURL: "https://your-domain.com/auth/callback"
  },
  function(accessToken, refreshToken, profile, cb) {
    // ...
  }
));

注意：callbackURL 必须与 provider 后台注册完全一致，环境变量读取需确保无前后空格。

典型错误日志分析

当配置不匹配时，后端日志或浏览器控制台通常会捕获以下特征信息：

[ERROR] OAuth2 Authorization Error: invalid_redirect_uri
Details: The redirect_uri MUST match the registered callback URL for this application.
Requested: https://dev.example.com/callback
Registered: https://www.example.com/callback

排查时重点关注 Requested 与 Registered 字段的差异，常见于域名前缀（www）、协议（http vs https）或路径末尾斜杠。

怎么验证是否生效

修改配置重启服务后，可通过以下方式验证：

清除浏览器缓存或打开无痕窗口。
重新点击登录按钮，若配置正确，页面会跳转到授权同意页。

使用 curl 模拟请求（需替换 client_id 和 redirect_uri）：

curl -v "https://provider.com/oauth/authorize?client_id=YOUR_ID&redirect_uri=https://your-domain.com/callback&response_type=code"

观察返回状态码，若不再返回 400 错误且包含 location 跳转，则修复成功。

常见坑

本地开发环境：localhost 和 127.0.0.1 在某些平台上被视为不同主机，建议统一使用 localhost。
多环境配置：生产环境和测试环境的回调地址不同，确保代码读取的是当前环境对应的配置，不要写死。
负载均衡后：如果应用部署在负载均衡后面，确保应用获取到的请求协议（http/https）是正确的，否则生成的回调地址可能协议头错误。
URL 编码：如果在代码中拼接 URL，确保回调地址没有被重复编码，冒号应保持标准 URL 格式。

参考来源

IETF RFC 6749 - The OAuth 2.0 Authorization Framework, Section 3.1.2 & 4.1.3, URL: https://datatracker.ietf.org/doc/html/rfc6749