DRF+Djoser集成Google OAuth时POST请求返回Invalid state错误

问题重现 #

我按照教程用DRF、Djoser和React实现Google社交认证，流程中出现state验证失败：

1. 发送GET请求：http://localhost:8000/auth/o/google-oauth2/?redirect_uri=http://localhost:8000，返回带state参数的authorization_url
2. 在浏览器打开该URL完成Google登录，被重定向到localhost:8000，URL携带state和code参数
3. 提取参数后用Postman发送POST请求到localhost:8000/auth/o/google-oauth2/?state=xxx&code=xxx（Content-Type设为application/x-www-form-urlencoded），返回错误：

   {"non_field_errors": ["Invalid state has been provided."]}
   

调试发现social_core/backends/oauth.py中OAuthAuth.validate_state方法里，get_session_state()返回的state与请求参数不匹配，手动赋值正确state后可正常运行。

核心原因 #

OAuth2的state参数用于防范CSRF攻击，后端会把生成的state存储在用户会话（session）中。出现验证失败的核心原因是：

• 第一步GET请求生成的state存在浏览器的session cookie里，但第三步用Postman发送请求时，Postman未携带该session cookie，导致后端无法从对应会话中读取正确的state，验证失败。
• 前后端分离场景下，若跨域会话配置错误，前端请求也无法携带session cookie，引发同样问题。

解决办法 #

测试阶段（Postman验证） #

1. 携带Session Cookie请求：第一步发送GET请求时，复制响应头中的sessionid Cookie，在Postman的POST请求中添加Cookie头（格式：sessionid=xxx），确保前后请求属于同一个会话。
2. 临时关闭state验证（仅测试用）：在settings.py中添加配置，跳过state检查（生产环境禁止使用，存在CSRF风险）：

   SOCIAL_AUTH_SKIP_STATE_CHECK = True
   

生产环境（React + DRF集成） #

1. 前端请求携带凭证：使用axios或fetch发送请求时，开启凭证携带：
   • Axios：

     axios.post('/auth/o/google-oauth2/', params, { withCredentials: true })
     

   • Fetch：

     fetch('/auth/o/google-oauth2/', {
       method: 'POST',
       credentials: 'include',
       // 其他参数
     })
     

2. 配置DRF跨域与会话：
   • 安装并配置django-cors-headers：

     # settings.py
     INSTALLED_APPS = [
         # ...
         'corsheaders',
     ]
     
     MIDDLEWARE = [
         'corsheaders.middleware.CorsMiddleware',
         'django.middleware.common.CommonMiddleware',
         # ...其他中间件
     ]
     
     CORS_ALLOW_CREDENTIALS = True
     CORS_ALLOWED_ORIGINS = [
         "http://localhost:3000",  # 替换为你的React应用地址
     ]
     
     # 会话Cookie配置
     SESSION_COOKIE_SAMESITE = 'Lax'
     CSRF_COOKIE_SAMESITE = 'Lax'
     # 若使用HTTPS，开启以下配置
     # SESSION_COOKIE_SECURE = True
     # CSRF_COOKIE_SECURE = True
     

3. 调整回调流程：Google登录后回调到前端页面，由前端直接携带会话凭证发送POST请求到DRF，避免手动提取参数跨会话请求。

补充检查项 #

• 确认SOCIAL_AUTH_GOOGLE_OAUTH2_KEY和SOCIAL_AUTH_GOOGLE_OAUTH2_SECRET在settings.py中配置正确。
• 检查Google Cloud Console中，OAuth2客户端的授权回调URL与请求中的redirect_uri完全一致（包括协议、域名、端口）。

内容的提问来源于stack exchange，提问作者Ivan