基于dj_rest_auth与allauth实现苹果多端登录的配置疑问

我们采用 React SPA + Django 4.2/DRF 3.15.2/dj_rest_auth 6.0.0/allauth 0.61.1 技术栈，需实现Web和移动端的Apple登录功能。由于Web与移动端Client ID不同，按照allauth要求在SOCIALACCOUNT_PROVIDERS["apple"]中配置了两个独立应用。

为适配当前版本，手动给allauth 0.61.1打了指定补丁，并给移动端应用设置了hidden属性。官方说明该属性用于「让指定Bundle ID的应用不在Web端显示」，但设置后移动端应用无法被调用，登录时报错：

{ "error":"invalid_grant",
"error_description":"client_id mismatch. The code was not issued to com.domain.web.",
"email_verified":false }

目前仅能单端正常登录，无法同时支持Web和移动端。因allauth最新版本（64.*）序列化器变更与dj-rest-auth存在兼容性问题，无法升级，现咨询：

1. 多应用配置逻辑
2. hidden属性的具体作用

当前Apple应用配置如下：

"apple" : {
    "APPS": [
        {
            "client_id": "com.domain-mobile",
            "secret": "XXXXXXXXX",
            "key": "XXXXXXXXX",
            "settings": { "hidden": True,
                          "certificate_key": """-----BEGIN PRIVATE KEY-----                                                                                                                           
XXXXXXX-----END PRIVATE KEY-----"""
            }
        },
        {
            "client_id": "com.domain.web",
            "secret": "XXXXXXXX",
            "key": "XXXXXXXXX",
            "settings": {
                "certificate_key": """-----BEGIN PRIVATE KEY-----                                                                                                                                     
XXXXXXXX-----END PRIVATE KEY-----"""
            }
        },
    ]}

一、allauth Apple多应用配置逻辑 #

在allauth 0.61.1版本中，Apple多应用配置核心是根据请求来源/参数自动匹配对应Client ID，需满足：

• 每个应用的client_id必须与Apple开发者后台配置的Bundle ID/服务ID完全一致
• 移动端请求需显式指定client_id，否则allauth会默认匹配第一个非隐藏应用（即Web端应用）
• 你打的补丁作用是修复多应用场景下的Client ID遍历匹配逻辑，确保能正确查找对应应用

二、hidden属性的具体作用 #

hidden属性的设计逻辑：

• 仅控制Web端前端登录入口的显示：让指定应用不在Web端的登录选项列表中出现
• 不会阻止该应用被API请求调用，只是不在Web前端展示

你遇到的错误本质是：设置hidden: True后，allauth处理移动端请求时未正确匹配到对应应用，反而默认使用了Web端的client_id，导致凭证校验不通过。

三、当前版本的修复方案 #

1. 移除移动端应用的hidden属性：先确保多应用能正常被匹配到，暂时放弃Web端隐藏移动端入口的需求
2. 移动端请求显式传client_id：在移动端发起Apple登录请求时，携带client_id=com.domain-mobile参数，让allauth明确匹配目标应用
3. 前端自定义过滤登录入口：如果需要隐藏Web端的移动端登录选项，不要依赖hidden属性，直接在前端代码中过滤掉移动端的client_id，只展示Web端选项
4. 验证补丁有效性：确认手动打的补丁已正确修改allauth Apple provider的应用匹配逻辑，确保能根据请求中的client_id遍历所有应用查找匹配项

内容的提问来源于stack exchange，提问作者StatsStudent