Rails 7对接Twitter API OAuth2出现strict-origin-when-cross-origin错误

问题场景 #

使用Rails结合omniauth、omniauth-twitter2对接Twitter OAuth2时，无论是否配置CSP（内容安全策略），提交登录请求后浏览器均返回400错误；API已识别活跃用户（返回x-twitter-active-user标识），但存在安全策略相关报错。

核心问题根源 #

1. Twitter开发者控制台回调URL配置错误
   控制台中配置的回调地址存在重复的协议头与域名后缀，例如https://https://170-343e-5-92-35.eu.ngrok.io/auth/twitter2/callback.eu.ngrok.io/auth/twitter2/callback，完全不符合OAuth2的redirect_uri规则，Twitter会直接判定为无效请求返回400。
2. 请求中redirect_url格式不匹配
   发起的请求中redirect_url缺失必要斜杠，导致与控制台配置的地址无法匹配。
3. CSP潜在资源拦截
   当前CSP配置虽允许HTTPS资源，但回调后若需加载Twitter相关脚本/资源（如头像、验证脚本），可能触发CSP拦截（此为次要问题，需先解决400核心错误）。

解决步骤 #

1. 修正Twitter开发者控制台的回调URL #

删除错误的重复配置，替换为与应用完全匹配的地址：

• 本地测试环境：http://localhost:3000/auth/twitter2/callback
• ngrok线上测试环境：https://170-343e-5-92-35.eu.ngrok.io/auth/twitter2/callback
  确保地址无多余的https://或重复域名后缀，与Rails应用的回调路由完全一致。

2. 配置Rails中OmniAuth的redirect_uri #

在config/initializers/omniauth.rb中明确指定正确的回调地址，确保与控制台配置一致：

Rails.application.config.middleware.use OmniAuth::Builder do
  provider :twitter2, ENV['TWITTER_CLIENT_ID'], ENV['TWITTER_CLIENT_SECRET'],
    redirect_uri: ENV['TWITTER_REDIRECT_URI'] # 示例值："https://xxx.eu.ngrok.io/auth/twitter2/callback"
end

可通过环境变量管理不同环境的回调地址，避免硬编码。

3. 调整CSP配置（若回调后仍有资源拦截） #

如果修正回调URL后仍出现CSP报错，需针对性允许Twitter相关域名加载资源，修改initializers/content_security_policy.rb：

Rails.application.configure do
  config.content_security_policy do |policy|
    policy.default_src :self, :https, "https://twitter.com", "https://api.twitter.com"
    policy.font_src    :self, :https, :data
    policy.img_src     :self, :https, :data, "https://pbs.twimg.com" # 允许加载Twitter头像
    policy.object_src  :none
    policy.script_src  :self, :https, "https://twitter.com" # 根据实际加载的脚本添加域名
    policy.style_src   :self, :https, "https://twitter.com"
    # 可选：开启CSP报告，方便排查未覆盖的资源
    # policy.report_uri "/csp-violation-report-endpoint"
  end
end

可通过浏览器控制台的CSP报错信息，精准添加需要允许的域名。

4. 验证请求完整性 #

确保表单的authenticity_token有效，且data-turbo="false"配置正确（避免Turbo干扰表单提交，OmniAuth的CSRF保护已通过omniauth-rails_csrf_protection处理）。

内容的提问来源于stack exchange，提问作者Jerome