Stytch社交登录认证失败：自定义会话TTL引发状态不匹配

报错信息 #

{"error_message" : "The state in the cookie doesn't match with the state in the query parameter. Please reach out to the application developer for support.","error_type": "oauth_state_mismatch","error_url": "https://stytch.com/docs/api/errors/400/oauth_state_mismatch"}

问题原因 #

Stytch的OAuth流程里，state参数是用来防CSRF攻击的，它的生成逻辑会包含OAuth请求的关键配置参数。你在authenticate阶段传入了自定义的session_duration_minutes，但如果生成OAuth授权跳转URL时没同步传这个参数，就会导致前后两次生成的state值不一致，触发匹配失败的错误。

说白了就是：授权URL生成时的配置和后续认证时的配置不统一，Stytch会判定请求被篡改，直接拒绝认证。

解决方案 #

• 同步配置参数：生成社交登录的授权URL（比如调用Stytch SDK的getOAuthUrl或对应语言的类似方法）时，必须传入和authenticate阶段完全一致的session_duration_minutes参数，示例代码如下：

  // 生成授权URL时同步传参
  const authUrl = await authenticator.getOAuthUrl({
    provider: 'google', // 替换成你的社交登录提供商
    session_duration_minutes: 60 // 和authenticate阶段一致的自定义TTL
  });
  

• 不要手动修改state：全程让Stytch SDK处理state的生成、存储和校验，别自己去篡改cookie或URL里的state值
• 统一会话配置：如果要自定义会话TTL，确保OAuth流程的两个核心步骤（授权URL生成、认证）用完全相同的配置参数

内容的提问来源于stack exchange，提问作者Ramesh