Symfony用knpu/oauth2-client集成Twitter OAuth遇code_verifier缺失问题

问题背景 #

使用Symfony框架搭配knpu/oauth2-client bundle集成Twitter OAuth 2.0时，获取凭证时收到错误：

Error fetching OAuth credentials: "Missing required parameter [code_verifier]."

使用的服务商类为\Smolblog\OAuth2\Client\Provider\Twitter。

相关配置与代码 #

Symfony配置文件（knpu_oauth2_client.yaml） #

knpu_oauth.yaml :
type: generic
provider_class: '\Smolblog\OAuth2\Client\Provider\Twitter'
client_id: '%env(resolve:TWITTER_CLIENT_ID)%'
client_secret: '%env(resolve:TWITTER_CLIENT_SECRET)%'
redirect_route: connect_twitter_check
redirect_params: {}
# Other relevant configurations

跳转与回调路由代码 #

public function redirectToTwitter(ClientRegistry $clientRegistry)
{
    return $clientRegistry
        ->getClient('twitter')
        ->redirect(['users.read'], ['code_challenge']); // Scopes you need
}

#[Route(path: '/Connexion/twitter/check', name: 'connect_twitter_check')]
public function connectTwitter(Request $request, ClientRegistry $clientRegistry)
{}

认证方法代码片段 #

{
     $client = $this->clientRegistry->getClient('twitter');
     //dd($client);
     $accessToken = $this->fetchAccessToken($client);
     // dd($client);
     return new SelfValidatingPassport(
         new UserBadge($accessToken->getToken(), function () use ($accessToken, $client) {
             /** @var TwitterUser $twitterUser */
             $twitterUser = $client->fetchUserFromToken($accessToken);
             dd($twitterUser);
             $email = $twitterUser->getEmail();
             // dd($email);
             // dd($accessToken);
             // 1) have they logged in with Twitter before? Easy!
             $existingUser = $this->entityManager->getRepository(User::class)->findOneBy(['twitterId' => $twitterUser->getId()]);
             // dd($existingUser);
             if ($existingUser) {
                 return $existingUser;
             } else {
                 // 2) do we have a matching user by email?
                 $user = $this->entityManager->getRepository(User::class)->findOneBy(['email' => $email]);
                 // dd($user);
                 if (!$user) {
                     /** @var Particulier $user */
                     $user = new Particulier();
                     $user->setEmail($email);
                     $user->setPassword($this->encoder->hashPassword($user, '@user0123456'));
                     $user->setTypeCompte("Particulier");
                     $user->setTel("+221765897845");
                     $user->setPrenom("nom");
                     $user->setNom("nom");
                     $user->setcivility("Mr");
                 }

问题咨询 #

1. 如何确保OAuth请求中正确包含必填参数code_verifier？
2. 为解决该问题，需检查Twitter开发者应用中的哪些特定配置？
3. knpu/oauth2-client bundle中是否存在与该错误相关的已知问题或解决方案？

解决方案 #

1. 确保请求中包含code_verifier参数 #

• 你在redirect()方法里传入了['code_challenge']参数触发PKCE流程，框架会自动生成code_challenge和code_verifier，并将code_verifier存储在会话中，回调时fetchAccessToken()会自动取出该参数。需检查：
  • Symfony会话是否正常工作：会话失效或配置错误会导致code_verifier丢失。
  • 不要手动修改会话中PKCE相关存储内容：避免干扰bundle的自动处理逻辑。
  • 回调方法需正确使用客户端实例：通过clientRegistry获取客户端后直接调用fetchAccessToken()，不要手动构造请求。

2. Twitter开发者应用配置检查 #

• 确认OAuth 2.0 PKCE强制启用：Twitter OAuth 2.0默认要求PKCE，检查开发者后台应用的OAuth配置，确保PKCE处于启用状态。
• 验证重定向URI完全匹配：Twitter后台设置的重定向URI必须和Symfony中redirect_route对应的URI完全一致（包括协议、路径、端口），不匹配会导致流程异常。
• 确认权限范围合规：确保users.read权限在Twitter后台已被允许，权限不足可能引发流程中断。

3. knpu/oauth2-client bundle相关问题与方案 #

• 该bundle已内置PKCE支持，只要正确调用redirect()并传入code_challenge参数，就能自动处理code_verifier的存储和携带。
• 注意服务商类版本兼容：如果Smolblog\OAuth2\Client\Provider\Twitter版本过旧，可能存在PKCE流程处理bug，建议升级到最新稳定版并与knpu/oauth2-client版本匹配。
• 可尝试显式指定PKCE方法：

  ->redirect(['users.read'], [
      'code_challenge' => true,
      'code_challenge_method' => 'S256'
  ]);
  

  Twitter支持S256方法，显式指定可解决部分兼容性问题。

内容的提问来源于stack exchange，提问作者kasali