FastAPI集成Google登录时CSRF状态不匹配错误的排查与解决

出现MismatchingStateError本质是CSRF验证失败，会话中保存的state值和Google回调返回的state不匹配，下面是几个必查的修复点：

1. 修正SessionMiddleware的Cookie配置 #

Starlette默认的Session Cookie设置在本地HTTP环境下容易被浏览器拦截，导致state无法正确存入会话。显式配置Cookie参数：

app.add_middleware(
    SessionMiddleware,
    secret_key="my_secret_key",
    same_site="lax",
    https_only=False  # 本地开发用HTTP时设为False，生产环境必须改为True
)

2. 使用Authlib内置的Google OpenID配置 #

手动填写授权URL容易出错，改用官方的元数据URL更可靠：

oauth.register(
    name="google",
    client_id="my_google_client_id",
    client_secret="my_google_client_secret",
    server_metadata_url="https://accounts.google.com/.well-known/openid-configuration",
    client_kwargs={"scope": "openid profile email"},
)

3. 严格匹配Google控制台的回调URI #

登录Google Cloud Console，找到你的OAuth客户端ID，检查已获授权的重定向URI必须和代码里的redirect_uri完全一致，包括协议（http/https）、端口、路径，不能有任何拼写或格式差异。

4. 禁用本地开发的自动重载 #

如果用uvicorn --reload启动服务，多进程模式会导致会话无法共享，state值丢失。改用单进程启动测试：

uvicorn main:app --port 8000

5. 清除浏览器缓存和Cookie #

旧的会话Cookie可能导致冲突，手动清除当前域名的所有Cookie后重新发起授权流程。

内容的提问来源于stack exchange，提问作者Nikolaisyl