如何通过Spotify API实现应用授权与重定向？POST令牌请求出错求助

• 绝对不要在前端直接调用Spotify Token接口
  Client Secret是敏感凭据，前端代码会直接暴露它，不仅违反Spotify的安全规范，还会导致你的应用密钥泄露。既然用了Auth0的Spotify集成，正确流程是：用户登录后，Auth0将授权码返回给你的后端服务，由后端拿着授权码、Client ID、Client Secret去调用https://accounts.spotify.com/api/token获取令牌，前端只负责触发Auth0登录并传递授权码到后端。

• 检查POST请求的参数与格式
  若暂时测试需要调用，必须严格符合Spotify的接口要求：

  • 请求头必须设置Content-Type: application/x-www-form-urlencoded，不能用JSON格式传递参数
  • 必须包含以下参数：
    • grant_type: 授权码流程填authorization_code
    • code: 用户登录后获取到的有效授权码
    • redirect_uri: 与Auth0、Spotify后台配置完全一致的地址（注意大小写、末尾斜杠等细节）
    • client_id和client_secret: 再次强调，生产环境绝对不能在前端写入client_secret

• 核对Auth0集成的配置细节

  • 确认Auth0的Spotify连接中，已正确配置Spotify的Client ID和Secret，且启用了授权码流程（Authorization Code Flow）
  • 检查Auth0应用设置里的「允许回调URL（Allowed Callback URLs）」是否包含你的前端重定向地址，且与Spotify后台的重定向URI完全匹配
  • 确认用户登录后，Auth0返回的code完整传递到了POST请求中，没有被编码错误或截断

• 配置对象的常见错误示例
  错误的JSON格式传参（Spotify不支持）：

  fetch('https://accounts.spotify.com/api/token', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({
      client_id: 'your-id',
      client_secret: 'your-secret',
      grant_type: 'authorization_code',
      code: 'user-auth-code',
      redirect_uri: 'your-redirect-uri'
    })
  })
  

  正确的form-urlencoded格式：

  const params = new URLSearchParams();
  params.append('client_id', 'your-id');
  params.append('client_secret', 'your-secret'); // 仅测试用，生产环境移到后端
  params.append('grant_type', 'authorization_code');
  params.append('code', 'user-auth-code');
  params.append('redirect_uri', 'your-redirect-uri');
  
  fetch('https://accounts.spotify.com/api/token', {
    method: 'POST',
    headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
    body: params
  })
  

内容的提问来源于stack exchange，提问作者Andra Steele