使用Flask与Authlib构建OAuth2客户端时遇InvalidClaimError求助

这个错误是因为你在注册OAuth客户端时同时手动指定了端点URL和server_metadata_url，导致Authlib加载的OpenID元数据与手动配置的端点不匹配，进而在验证id_token的iss（发行方）声明时失败。

修复步骤： #

1. 简化OAuth客户端注册代码
   当使用server_metadata_url时，Authlib会自动从Google的OpenID配置中加载所有必要的端点（如授权URL、令牌URL等），不需要手动重复配置。修改后的注册代码如下：

   google = oauth.register(
       name='google',
       client_id='你的客户端ID',
       client_secret='你的客户端密钥',
       api_base_url="https://www.googleapis.com/oauth2/v1/",
       client_kwargs={'scope': 'openid email profile'},
       server_metadata_url="https://accounts.google.com/.well-known/openid-configuration",
   )
   

   注意：替换client_id和client_secret为你在Google Cloud Console中获取的真实值。

2. 调整授权端点逻辑
   确保授权回调能正确处理令牌交换与用户信息获取，你的/authorize端点可保持基础结构：

   @app.route('/authorize')
   def authorize():
       google = oauth.create_client('google')
       token = google.authorize_access_token()
       resp = google.get('userinfo')
       resp.raise_for_status()
       userinfo = resp.json()
       
       # 可在此添加用户信息的后续处理（如存入会话、数据库）
       return str(userinfo)
   

额外注意事项： #

• 确认Google Cloud Console中已正确配置OAuth2客户端的授权重定向URI，必须与Flask应用的回调地址完全一致（例如http://localhost:5000/authorize）。
• 若需精细控制id_token验证，可在注册时调整client_kwargs中的验证选项，但默认配置已满足常规需求。

内容的提问来源于stack exchange，提问作者Perny