Google Redirect URI无HTTPS失效：非生产环境HTTP配置疑问

为什么HTTP配置却触发HTTPS跳转要求？ #

• 本地开发环境的自动重定向：很多现代开发工具（如新版XAMPP、WAMP）或浏览器的自动HTTPS升级机制，会把localhost的HTTP请求强制转为HTTPS。这就导致实际发起认证请求时，携带的redirect_uri变成了HTTPS地址，和你在控制台配置的HTTP版本不匹配，直接触发Error 400: redirect_uri_mismatch。
• 应用代码硬编码问题：检查你的应用代码，可能在构造OAuth认证请求时，硬编码了HTTPS的redirect_uri参数，哪怕控制台配置的是HTTP，实际请求还是传了HTTPS地址，也会导致不匹配错误。

未发布测试应用能否使用HTTP Redirect URI？ #

可以，但仅限localhost/本地环回地址。绝大多数主流OAuth2服务（包括Google G Suite OAuth2），允许未发布的测试应用对localhost使用HTTP的Redirect URI；但如果是外部测试域名，哪怕未发布，也强制要求HTTPS。

HTTPS配置后授权异常的解决办法 #

改成HTTPS后授权出现异常，核心原因是本地服务未正确配置HTTPS：

• 浏览器拦截未信任证书：本地HTTPS服务默认用自签名证书，浏览器会标记为不安全，阻断回调请求，导致应用无法接收授权码。
• 应用未开启HTTPS服务：如果你的本地应用本身只监听HTTP端口，无法处理HTTPS的回调请求，自然会出现异常。

推荐两种解决路径：

1. 关闭自动HTTPS重定向：调整开发工具或浏览器设置，强制本地请求走HTTP，同时保持控制台的HTTP Redirect URI配置一致；
2. 配置可信自签名证书：用mkcert这类工具生成本地可信证书，让浏览器信任本地HTTPS链接，确保HTTPS回调能正常到达应用。

内容的提问来源于stack exchange，提问作者Robert Sinclair