Mindbody OAuth授权后重定向URI未返回authorization_code问题

问题背景 #

对接Mindbody OAuth/OIDC能力时，调用官方授权端点https://signin.mindbodyonline.com/connect/authorize发起授权，用户完成授权后跳转至预先配置的redirect_uri地址，但地址无任何返回参数，无法获取预期的authorization_code。
本次发起的完整授权请求如下：

https://signin.mindbodyonline.com/connect/authorize?nonce=xxx&response_type=code%20id_token&client_id=#{xxx}&redirect_uri=#{xxx}&scope=email profile openid Mindbody.Api.Public.v6&subscriberId=xxx&staff=true

请求携带参数包括：nonce、response_type、client_id、redirect_uri、scope（包含email、profile、openid、Mindbody.Api.Public.v6权限）、subscriberId、staff标识。

根因排查及修复 #

按优先级从高到低逐一验证：

• redirect_uri完全匹配校验
  Mindbody平台对回调地址做严格的全字符串匹配校验，协议（http/https）、域名、端口、路径、末尾斜杠、大小写必须和开发者后台配置的地址完全一致，不支持任何通配符匹配。只要存在字符偏差，平台会直接静默跳转至回调地址，不携带任何参数、不返回明确报错。

  本地调试用的localhost地址、带自定义端口的地址必须单独在后台添加配置，不会被线上配置的回调地址规则匹配。

• response_type模式匹配问题
  你当前传入的response_type=code id_token属于OIDC混合流（Hybrid Flow），并非普通授权码流（Authorization Code Flow）：
  • 混合流模式下，返回的id_token、部分接口版本下的authorization_code都会放在URL的hash片段（#后的内容），而非query参数（?后的内容），如果业务代码只解析query参数会拿不到返回值
  • 如果仅需要获取authorization_code走标准授权码流程，直接将response_type修改为code即可，修改后授权码会正常放在回调地址的query参数中返回
• scope权限有效性校验
  请求中携带的Mindbody.Api.Public.v6为业务API权限，需要和应用在开发者后台获批的权限完全一致。如果应用未获得该scope的授权，平台会静默截断返回参数，不会抛出错误提示。测试阶段可先仅传openid email profile三个基础OIDC scope，验证基础授权流程通顺后再追加业务API权限scope。
• 必填参数及业务参数校验
  • 现有请求未携带state参数，Mindbody部分租户配置下会强制校验state参数，缺失时会触发无参数静默回调，建议固定传入随机生成的state参数做链路校验
  • 业务扩展参数subscriberId需传入对应场馆的有效ID，staff=true标识仅适用于场馆员工账号授权，普通C端消费者账号传该标识会触发授权拦截，导致无参数跳转
• 链路日志排查方法
  发起授权时打开浏览器开发者工具-网络面板，勾选「保留日志」，跟踪全链路302跳转记录，若中途存在跳转至Mindbody错误页的记录，可从跳转响应中拿到明确的错误码（如redirect_uri_mismatch、invalid_scope、unauthorized_client等），直接对应错误码修复即可。

内容的提问来源于stack exchange，提问作者Manisha Odedara