Twitter OAuth授权报错：重定向URI不匹配问题求助

排查方向及解决方法 #

1. 严格核对URI的细节一致性 #

Twitter对回调URI的匹配是大小写敏感、字符完全一致的，哪怕是路径里的字母大小写、隐形空格都会触发错误：

• 确保生成授权链接时的redirect_uri，和回调阶段换token时传入的redirect_uri完全一致，包括编码状态（不要手动编码，让twitter-api-v2库自动处理）
• 复制粘贴URI时，检查首尾是否有多余空格，用文本编辑器的“显示所有字符”功能确认

2. 确认API Gateway实际接收的回调URI #

AWS API Gateway的配置可能导致实际请求URI和你配置的有差异：

• 查看CloudWatch日志里的requestURI参数，对比你在Twitter控制台和代码里的URI是否完全匹配
• 检查API Gateway的阶段配置，是否有额外的路径前缀被自动添加
• 如果用了自定义域名，确认域名映射的路径和回调URI完全一致

3. 重点检查授权码交换环节的参数 #

你只提供了生成授权链接的代码，而交换授权码获取token的步骤必须传入和生成链接时完全相同的redirect_uri，哪怕控制台已经配置，这一步也不能省略。示例代码如下：

// 回调端点的核心逻辑
export async function twitterCallback(event: APIGatewayProxyEvent) {
  const { code } = event.queryStringParameters;
  // 必须和生成授权链接时的redirectUri完全一致
  const redirectUri = "https://<url>.execute-api.us-east-1.amazonaws.com/staging/social-media/oauth/twitter-callback";
  
  const { client } = await twitterClient.loginWithOAuth2({
    code,
    codeVerifier: /* 这里要传入生成授权链接时保存的codeVerifier */,
    redirectUri, // 关键：必须和生成链接时的参数一致
  });
  
  // 后续业务逻辑
}

如果这一步的redirectUri和生成链接时的不一致，必然触发400错误。

4. 修正自定义授权链接的PKCE流程问题 #

你写的getTwitterOauthUrl方法里硬编码了code_challenge，这不符合PKCE规范：

• PKCE要求code_challenge必须是随机生成的，且和code_verifier一一对应
• 硬编码的code_challenge会导致token交换时验证失败，Twitter的错误提示可能会误导为redirect uri不匹配
  建议直接使用twitter-api-v2的generateOAuth2AuthLink方法，它会自动生成合规的code_challenge和code_verifier

5. 排查控制台配置与缓存问题 #

• 确认Twitter开发者控制台里的回调URI已经正确添加，没有被禁用，且无多余空格
• 如果刚修改过控制台配置，等待1-2分钟让配置生效，Twitter的配置更新可能有延迟
• 用浏览器隐私模式测试，避免旧缓存的影响

内容的提问来源于stack exchange，提问作者user6680