如何在Slack OAuth流程中传递state参数？

你的代码已经在授权URL中添加了state参数，但无效的核心原因是没有在回调阶段验证返回的state值，同时缺少state的持久化存储（Google Apps Script的HTTP请求是无状态的）。以下是具体修正方案：

关键修正点 #

• 必须存储生成的state值，确保回调时能匹配验证
• 在doGet中检查返回的state与存储值是否一致，防止CSRF攻击
• 确保所有URL参数正确编码，避免特殊字符导致解析错误

修正后的完整代码 #

function getSlackAccessToken(code) {
  var clientId = 'XXXXXX';
  var clientSecret = 'XXXXXX';
  var redirectUri = 'XXXXXX';

  var options = {
    'method': 'post',
    'payload': {
      'client_id': clientId,
      'client_secret': clientSecret,
      'code': code,
      'redirect_uri': redirectUri
    }
  };

  var response = UrlFetchApp.fetch('https://slack.com/api/oauth.v2.access', options);
  var data = JSON.parse(response.getContentText());
  return data;
}

function getSlackOAuthUrl() {
  var clientId = 'XXXXXX';
  var redirectUri = 'XXXXXX';
  // 生成安全随机state值
  var state = Utilities.getUuid();
  // 临时存储state，有效期可自行调整
  PropertiesService.getScriptProperties().setProperty('SLACK_OAUTH_STATE', state);

  // 构建编码后的授权URL
  var authUrl = 'https://slack.com/oauth/v2/authorize' +
    '?client_id=' + encodeURIComponent(clientId) +
    '&redirect_uri=' + encodeURIComponent(redirectUri) +
    '&state=' + encodeURIComponent(state) +
    '&scope=incoming-webhook';

  return authUrl;
}

function doGet(e) {
  var code = e.parameter.code;
  var returnedState = e.parameter.state;

  if (!code) { 
    var url = getSlackOAuthUrl();
    return HtmlService.createHtmlOutput('<a href="' + url + '">点击授权Slack应用</a>'); 
  }

  // 验证state参数合法性
  var storedState = PropertiesService.getScriptProperties().getProperty('SLACK_OAUTH_STATE');
  if (!returnedState || returnedState !== storedState) {
    return ContentService.createTextOutput("错误：State参数验证失败，存在CSRF风险");
  }
  // 验证通过后删除存储的state，避免重复使用
  PropertiesService.getScriptProperties().deleteProperty('SLACK_OAUTH_STATE');

  try {
    var data = getSlackAccessToken(code);

    if (data.ok) {
      if(data.incoming_webhook){
        return ContentService.createTextOutput("应用连接成功");
      } else {
        return ContentService.createTextOutput("返回数据中缺少Incoming Webhook配置");
      }
    } else {
      return ContentService.createTextOutput("错误：" + data.error);
    }
  } catch (error) {
    return ContentService.createTextOutput("错误：" + error.toString());
  }
}

核心说明 #

1. State的存储与验证：利用PropertiesService临时存储生成的state，回调时对比返回值，验证通过后立即删除，避免重复利用。
2. 随机State生成：使用Utilities.getUuid()生成符合OAuth规范的安全随机值，替代固定值提升安全性。
3. URL编码处理：所有参数均通过encodeURIComponent编码，避免特殊字符导致URL解析异常。
4. 回调体验优化：将直接返回URL改为生成跳转链接，同时增加state验证逻辑，确保请求合法性。

内容的提问来源于stack exchange，提问作者JEA