为何Stackoverflow OAuth2.0的redirect_uri需与首次请求一致？

核心原因：严格的安全绑定策略 #

Stack Exchange的OAuth 2.0实现是为了最大化防范授权码劫持攻击，所以要求授权请求（前端发起的第一次请求）和令牌交换请求（后端发起的第二次请求）的redirect_uri完全一致。

简单来说，授权码生成时就和第一次请求的redirect_uri做了绑定，后端换令牌时如果用了不同的uri，系统会判定这个请求可能是攻击者伪造的——毕竟正常流程下，授权码应该只会被发送到你指定的那个回调地址，换令牌时自然要用同一个地址来验证合法性。

和Github OAuth的差异原因 #

Github OAuth允许两次redirect_uri不同，是因为它额外做了双重验证：

• 后端请求必须携带仅服务器持有的client_secret，确保请求来源合法；
• 令牌交换用的redirect_uri必须在应用预先注册的合法uri白名单里，就算和授权阶段不同，只要在列表内就放行。

这是Github在安全和灵活性之间做的妥协，而Stack Exchange选择了更保守的安全策略，没有做白名单校验，而是通过强绑定uri来减少攻击面。

适配建议 #

如果想沿用之前Github的流程，有两种办法：

• 直接统一redirect_uri为后端地址：前端发起授权请求时就把回调地址设成后端接口，用户授权后Stackoverflow把授权码发去后端，后端完成令牌交换后再把结果返回给前端。
• 前端收授权码后传给后端：后端交换令牌时严格复用前端授权请求里的那个redirect_uri，前提是这个uri已经在Stack Exchange应用后台注册过。

内容的提问来源于stack exchange，提问作者János