Google OAuth2授权码流程是否变更？state参数重定向异常

Google的OAuth 2.0授权码流程没有发生变更，state参数的核心要求是「原样返回参数值」，而非严格保持URL编码格式。

核心依据 #

OAuth 2.0规范仅要求授权服务器将客户端发送的state参数原封不动返回，并未强制规定必须保留URL编码的格式。Google的实现只是在返回时自动对state参数做了URL解码，但参数的实际值和你发送的完全一致，这完全符合规范要求。

你的场景验证 #

你发送的编码后state值：

https%3A%2F%2Fmydomain%3A8383%2Fhtml%2Foauth-verification.html

返回的解码后state值：

https://mydomain:8383/html/oauth-verification.html

两者本质是同一个字符串，只是呈现形式不同，完全不影响state参数用于防止CSRF攻击的核心作用。

客户端处理建议 #

你的客户端在接收重定向URL时，只需提取state参数的值并与你最初生成的原始值（或你存储的对应值）进行比对即可，无需纠结返回时是否编码。如果你的业务代码依赖编码后的格式，可以在接收后自行对state值重新执行URL编码再进行后续处理。

内容的提问来源于stack exchange，提问作者Dhinesh