Azure AD OAuth2部分用户出现redirect_uri不匹配invalid_grant错误咨询

针对你遇到的部分用户登录时触发invalid_grant错误、提示redirect_uri不匹配的问题，结合代码和配置情况，整理以下核心排查点与修复方案：

1. 代码语法错误导致URL/请求异常 #

前端JS代码问题 #

你的前端代码存在多处语法错误，会导致部分浏览器无法正确生成授权URL，进而生成错误的授权码：

• 变量赋值语法错误：例如const responseType = process.env.VITE_AZURE_RESPONSE_TYPE; = 'code'，多余的分号+赋值会引发语法报错，正确写法应为const responseType = process.env.VITE_AZURE_RESPONSE_TYPE || 'code';，scope、oauthUrl的赋值存在同样问题。
• URL拼接未闭合：最后一行const url = ${oauthUrl}...${encodeURIComponent(redirectUri)};缺少闭合反引号，会导致URL截断，redirect_uri`参数不完整。

修复示例：

const responseType = process.env.VITE_AZURE_RESPONSE_TYPE || 'code';
const scope = process.env.VITE_AZURE_SCOPE || 'api://client-id/demo';
const clientId = process.env.VITE_AZURE_CLIENT_ID;
const oauthUrl = process.env.VITE_AZURE_OAUTH_URL || 'https://login.microsoftonline.com/common/oauth2/v2.0/authorize?';
const responseMode = process.env.VITE_AZURE_RESPONSE_MODE || 'query';

const redirectUri = 'http://localhost:5173/auth/login';
const url = `${oauthUrl}client_id=${clientId}&response_type=${responseType}&scope=${scope}&response_mode=${responseMode}&redirect_uri=${encodeURIComponent(redirectUri)}`;

后端PHP代码问题 #

后端代码存在多处变量未加$符号的语法错误，会导致脚本执行失败，部分用户可能因服务器配置（如错误日志隐藏、缓存）出现异常表现：

• http_build_query(data) → http_build_query($data)
• curl_exec(ch) → curl_exec($ch)
• json_decode(response, true) → json_decode($response, true)
• isset(decodedResponse['access_token']) → isset($decodedResponse['access_token'])
• curl_close(ch) → curl_close($ch)

修复方案：修正所有变量引用错误，确保PHP脚本能正确发起token请求。

2. 授权码本身的问题 #

invalid_grant错误也可能与授权码的有效性相关：

• 授权码重复使用：Azure AD的授权码仅能使用一次，若用户重复提交同一授权码（如网络延迟导致重复请求），会触发该错误。
• 授权码过期：授权码有效期为10分钟，若前端获取授权码后延迟过久才提交给后端，会导致授权码失效。

修复方案：

• 前端获取授权码后立即提交后端，避免延迟；
• 后端处理token请求时，若返回invalid_grant，直接引导用户重新发起授权流程；
• 前端添加防重复提交逻辑，避免同一授权码被多次提交。

3. Azure AD应用配置的重定向URI差异 #

即使你认为URI一致，仍需确认以下细节：

• 大小写敏感：Azure AD对重定向URI的路径大小写严格区分，例如/Auth/Login与/auth/login会被视为不同URI；
• 协议差异：若部分用户访问的是HTTPS环境，但你配置的是HTTP的重定向URI，会导致不匹配；
• 租户覆盖：使用common端点时，需确认应用在所有涉及的用户租户中都配置了正确的重定向URI；
• 编码一致性：前端对URI做了encodeURIComponent编码，后端提交的是原始URI，需确保原始URI完全一致（Azure AD会自动处理编码匹配，但原始字符串必须无差异）。

修复方案：

• 在Azure Entra ID应用配置中，添加所有可能用到的重定向URI（含大小写、HTTP/HTTPS版本）；
• 统一前后端的redirect_uri字符串，确保协议、端口、路径完全一致。

4. 用户浏览器缓存/Cookie问题 #

部分用户的浏览器可能缓存了旧的授权请求，导致使用错误的redirect_uri生成授权码。

修复方案：

• 引导出错用户清除浏览器缓存与Cookie后重新登录；
• 在前端授权URL中添加随机state参数（如&state=${Date.now()}），避免浏览器缓存旧请求。

内容的提问来源于stack exchange，提问作者Breno Ribeiro