AppAuth-Android升级后出现state参数不匹配授权报错

核心原因 #

0.7.0之后版本的AppAuth-Android调整了回调Uri的参数解析逻辑：你使用的code token id_token属于OIDC混合流，授权服务默认会将state、授权码、token等返回参数拼接在回调Uri的fragment分段（即#号后的内容），但新版本默认仅从Uri的query参数段（即?号后的内容）提取字段，完全读不到fragment里的参数，最终判定返回的state为空，和请求生成的state不匹配，直接中断授权流程。
form_post响应模式是为Web端表单提交设计的，移动端自定义Scheme、App Link回调只能接收GET请求的Uri参数，无法读取POST请求体，配置该模式本身就不适用于移动端场景。

可直接复用的解决方法 #

• 优先选：构建授权请求时显式指定响应参数返回位置。在AuthorizationRequest.Builder链式调用中追加.setResponseMode("query")，强制授权服务把所有回调参数拼接到回调Uri的query段，直接适配新版本的默认解析逻辑。只要后端授权服务符合标准OIDC规范，都支持该配置，改完即可正常走通流程。
• 后端不支持修改responseMode的场景：在你定义的回调落地页Activity（即代码里的tokenActivity）中，先拦截回调Uri，手动把fragment里的参数转成query格式，再交给AppAuth做后续解析。核心实现代码如下：

@Override
protected void onCreate(Bundle savedInstanceState) {
    super.onCreate(savedInstanceState);
    Uri originCallbackUri = getIntent().getData();
    Uri handleUri = originCallbackUri;
    if (originCallbackUri != null && !TextUtils.isEmpty(originCallbackUri.getEncodedFragment())) {
        // 提取fragment里的参数，转成query参数
        String fragmentContent = originCallbackUri.getEncodedFragment();
        handleUri = originCallbackUri.buildUpon()
                .encodedQuery(fragmentContent)
                .encodedFragment(null)
                .build();
        // 把处理后的Uri放回Intent，再走AppAuth原有的响应解析逻辑
        getIntent().setData(handleUri);
    }
    // 后续原有逻辑不变
}

• 无关项排查：你代码里Android 12+给PendingIntent加FLAG_MUTABLE的配置是正确的，CustomTab配置也不会影响参数解析，不需要调整这部分逻辑。

内容的提问来源于stack exchange，提问作者Kevin Lee