实现Google YouTube API服务器端OAuth时，为何需指定redirect_uri？

• OAuth 2.0规范的硬性要求：不管是哪种授权流程，redirect_uri都是核心参数，用来明确授权服务器（这里是Google）应该把授权凭证（授权码）发送到哪个地址。这是规范里的强制设定，目的是防止授权凭证被恶意第三方截获。
• 服务器端流程并非全程在你的服务器内：你可能误解了流程——服务器端OAuth（授权码流程）里，用户授权环节必须通过浏览器完成：你的服务器会生成授权链接，引导用户跳转到Google的授权页面；用户完成授权后，Google的授权服务器需要把授权码回传给你的服务器，这时候redirect_uri就是指定这个回调端点的地址。没有它，Google不知道该把授权码发给谁。
• localhost生效的本质：当你在本地开发时，你的测试服务器运行在localhost上，只要你在Google Cloud控制台里预先注册了http://localhost:xxxx这类地址作为redirect_uri，Google就会允许把授权码发送到这个本地端点。这只是开发阶段的临时方案，生产环境必须换成你实际的服务器域名地址。
• 安全校验的关键：Google会严格校验请求中的redirect_uri是否和你在控制台注册的地址完全一致，这是一层安全防护，确保授权凭证只会发送到你信任的服务器，避免凭证被非法站点获取。

内容的提问来源于stack exchange，提问作者Utsav Gupta