使用Flask+Authlib通过OAuth2认证NextCloud用户时获取AccessToken失败

我刚碰到和你完全一样的问题！用Flask搭了个小应用，想通过Authlib对接NextCloud的OAuth2做用户认证，前面的流程都没问题：点登录链接能跳去NextCloud的授权页，用户同意后也能正确回调到/callback/nextcloud路由，但一执行nextcloud.authorize_access_token()就直接返回500错误。查了NextCloud的服务器日志，才看到那个OC\Security\Crypto::calculateHMAC(): Argument #1 ($message) must be of type string, null given的报错。折腾了好几个小时，终于找到问题根源和解决办法了！

这个错误本质是NextCloud的OAuth2服务端在处理我们的AccessToken请求时，收到了缺失的关键参数，导致HMAC验证计算失败。下面是两种最常见的解决方案：

方案1：强制用Basic Auth传递客户端凭证 #

NextCloud的OAuth2服务端默认要求客户端在请求AccessToken时，通过Basic Auth的方式传递client_id和client_secret，但Authlib默认会把这两个参数放在请求的表单参数里，这就导致NextCloud无法正确验证客户端身份，进而触发了HMAC计算错误。

修改注册NextCloud OAuth客户端的代码，加上client_kwargs指定认证方式：

nextcloud = oauth.register(
    'nextcloud',
    client_kwargs={
        'auth_method': 'client_secret_basic',  # 强制使用Basic Auth验证客户端
    }
)

方案2：禁用PKCE（适配旧版NextCloud） #

如果你的NextCloud版本比较旧（比如低于24.x），可能对PKCE（OAuth2的一种安全增强机制）的支持不完善。Authlib默认会启用PKCE，但旧版NextCloud处理PKCE相关参数时可能会出现空值，从而触发日志里的错误。

你可以在跳转授权时直接禁用PKCE：

@app.route("/nextcloud_login", methods=["GET"])
def nextcloud_login():
    redirect_uri = url_for("callback_nextcloud", _external=True)
    # 禁用PKCE，适配旧版NextCloud
    return nextcloud.authorize_redirect(redirect_uri, code_challenge_method=None)

或者在注册OAuth客户端时全局禁用PKCE：

nextcloud = oauth.register(
    'nextcloud',
    client_kwargs={
        'code_challenge_method': None,
    }
)

额外验证点 #

修改完成后，还要确保NextCloud后台注册的OAuth客户端的重定向URI，和你代码里url_for("callback_nextcloud", _external=True)生成的地址完全一致（包括协议http/https、域名、端口），哪怕细微的差异都可能导致验证失败。

内容来源于stack exchange