Moodle集成Google OAuth2登录突现Error 400: access_not_configured的原因与修复

问题背景 #

我们的Moodle系统通过Google OAuth2实现登录功能，此前所有使用机构邮箱的用户均可正常登录。但今日某学校（邮箱格式：username@thexxxschool.in）的用户登录时出现Error 400: access_not_configured错误，且未对已上线应用做任何修改，仅在Google Cloud Console的OAuth同意屏幕中看到相关提示。

错误突发原因 #

• 目标学校Google Workspace配置变更：该学校的Google Workspace管理员可能修改了域名的OAuth应用访问权限，比如禁用了你的应用在该域名下的授权，或调整了域范围API访问规则，导致用户无法完成OAuth2验证。
• OAuth同意屏幕状态异动：应用的OAuth同意屏幕状态可能发生变更——比如原本的已验证状态被Google重新标记为未验证，或应用发布状态从「公开」转为「受限」，导致特定域名用户被拦截。
• Google临时访问限制：Google可能因异常请求检测，对该域名或你的应用触发了临时访问限制，此类情况概率较低，通常会伴随额外提示。

修复方案 #

1. 检查OAuth同意屏幕设置
   • 确认应用发布状态：若为「受限」，可改为「公开」，或在「测试用户」中添加*@thexxxschool.in以覆盖整个学校域名。
   • 核对允许的域名列表：确保thexxxschool.in已被添加到授权域名中，未添加则补充。
2. 联系目标学校管理员
   • 请求对方检查Google Workspace管理控制台的「API和服务」→「域范围授权」，确认你的应用客户端ID是否被允许访问该域用户数据。
   • 同时确认该域是否启用了第三方OAuth应用访问权限，是否存在针对你的应用的拦截规则。
3. 验证API服务状态
   • 进入Google Cloud Console的「API和服务」→「仪表板」，确认Google Identity API及相关OAuth2服务处于启用状态，未被意外禁用。

修改OAuth同意屏幕对现有用户的影响 #

• 仅修改测试用户/授权域名：不影响已授权的现有用户，他们的登录和权限不受干扰，仅新用户或特定域名用户受新设置约束。
• 修改应用发布状态：已授权用户可正常登录，未授权的新用户（不在测试列表内）将无法登录。
• 修改授权范围：现有用户下次登录时会看到更新的授权请求弹窗，需重新确认授权后才可继续使用，不会直接导致登录失败。

内容的提问来源于stack exchange，提问作者DesignThala