Web服务无法直连客户端时如何访问回调？以Git凭证管理器为例

这个机制的核心逻辑其实很直接，本质是本地临时HTTP服务器+浏览器重定向的组合，一步步拆解如下：

• GCM会先启动本地临时HTTP服务器
  在发起OAuth授权请求前，GCM会在你的设备上随机挑选一个未被占用的端口，启动一个轻量级的HTTP服务器，专门监听localhost上该端口的请求。同时，它会把这个本地地址（比如http://localhost:54321/callback）作为回调URL，传给Google、GitHub这类身份提供商（IdP）。

• IdP通过浏览器完成回调传递
  你在浏览器里完成登录授权后，IdP并不会直接访问你的localhost——它做的是给浏览器返回一个302重定向响应，让浏览器去请求之前约定好的那个localhost回调URL。因为浏览器本身就在你的设备上，访问localhost就是访问你自己的机器，完全不存在外部网络访问的问题。

• 本地服务器处理授权结果并收尾
  GCM的本地服务器收到浏览器发来的回调请求后，会从请求里提取授权码（或授权失败的状态），然后立刻关闭这个临时服务器，接着用拿到的授权码去完成和Git服务器的身份验证流程，最终帮你生成可用的凭证。

另外补充两个细节：

• 为什么用localhost？因为这个地址只能被本地进程访问，能避免授权码被第三方截获，安全性更高。
• 除了HTTP回调，有些场景下GCM也会用自定义协议（比如git-credential-manager://callback），原理类似：浏览器识别到自定义协议后，会把请求交给注册了该协议的GCM进程处理，同样不需要外部网络介入。

内容的提问来源于stack exchange，提问作者QF0