Xero授权后无法兑换授权码为访问令牌的问题求助

给你几个关键排查方向和代码修正建议：

1. 必须读取错误响应的具体内容 #

Xero的400响应并非只有状态码，响应体的JSON内容会明确标注错误原因（比如redirect_uri_mismatch、invalid_grant、invalid_client等），这是定位问题的核心。修改代码里的响应处理逻辑，先读取完整响应内容：

var response = await httpClient.SendAsync(requestMessage);
var responseContent = await response.Content.ReadAsStringAsync();

if (!response.IsSuccessStatusCode)
{
    logger.LogError($"令牌兑换失败：{responseContent}");
    return $"错误详情：{responseContent}";
}

拿到具体错误信息后，就能精准定位问题根源。

2. 确保redirect_uri完全匹配 #

Xero要求兑换令牌时的redirect_uri必须和授权发起时以及Xero开发者平台注册的回调地址完全一致，包括：

• 结尾是否带斜杠（比如注册的是https://myapp.com/redirect，就不能传https://myapp.com/redirect/）
• 大小写（比如HTTPS和https、Redirect和redirect必须完全一致）
• 协议（必须是HTTPS，Xero不支持HTTP回调）

检查你的xeroConfig.CallbackUri.AbsoluteUri是否和注册地址完全一致，必要时可以直接写死字符串测试：

{ "redirect_uri", "https://myapp.com/redirect" } // 替换成你注册的精确地址

3. 修复HttpClient的创建方式 #

每次方法内new HttpClient()会导致TCP连接无法复用，长期运行会引发性能问题，建议复用单例HttpClient或者通过IHttpClientFactory注入：

// 依赖注入IHttpClientFactory
private readonly IHttpClientFactory _httpClientFactory;

public YourService(IHttpClientFactory httpClientFactory)
{
    _httpClientFactory = httpClientFactory;
}

// 在方法内获取客户端
var httpClient = _httpClientFactory.CreateClient();

4. 添加必要的请求头 #

虽然Xero文档未强制要求，但添加Accept: application/json头可以确保响应格式正确，避免潜在的解析问题：

requestMessage.Headers.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

5. 检查授权码的有效性 #

• 授权码只能使用一次，重复使用会返回invalid_grant
• 授权码有有效期（一般5分钟），超时后也会返回invalid_grant

修正后的完整代码示例 #

public async Task<string> AuthoriseApp(string code, string state)
{
    try
    {
        var clientState = TokenUtilities.GetCurrentState();

        if (state != clientState)
        {
            return "检测到跨站伪造请求！";
        }

        var paramsDict = new Dictionary<string, string>
        {
            { "grant_type", "authorization_code" },
            { "code", code },
            { "redirect_uri", "https://myapp.com/redirect" } // 替换为你注册的精确地址
        };

        var body = new FormUrlEncodedContent(paramsDict);

        var httpClient = _httpClientFactory.CreateClient(); // 用IHttpClientFactory注入的客户端

        using var requestMessage = new HttpRequestMessage(HttpMethod.Post, $"{xeroConfig.XeroIdentityBaseUri}/connect/token")
        {
            Content = body
        };

        requestMessage.Headers.Authorization = new BasicAuthenticationHeaderValue(xeroConfig.ClientId, xeroConfig.ClientSecret);
        requestMessage.Headers.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

        var response = await httpClient.SendAsync(requestMessage);
        var responseContent = await response.Content.ReadAsStringAsync();

        if (!response.IsSuccessStatusCode)
        {
            logger.LogError("令牌兑换失败：{ResponseContent}", responseContent);
            return $"错误详情：{responseContent}";
        }

        // 这里解析responseContent获取access_token等信息
        return "兑换成功";
    }
    catch (Exception ex)
    {
        logger.LogError(ex, "授权处理异常");
        return ex.Message;
    }
}

先按第一步的方法获取错误响应内容，大部分情况下都是redirect_uri不匹配或者授权码无效的问题，根据错误信息调整即可。

内容的提问来源于stack exchange，提问作者Jon Little