Node.js应用部署Heroku时Google OAuth2报redirect_uri_mismatch错误

这个报错本质是Google OAuth的重定向URI校验未通过，Google对生产环境的重定向URI执行逐字符完全匹配规则，和域名所有权验证无关，按以下优先级排查即可解决：

1. 优先校验重定向URI的完全一致性 #

不要只核对域名，必须保证GCP OAuth凭据中配置的生产重定向URI，和代码实际传入generateAuthUrl、getToken两个方法的redirect_uri参数完全一致，任何细微差异都会直接报错：

• 协议必须匹配：Heroku生产环境仅支持HTTPS，禁止传HTTP开头的回调地址
• 路径必须完全一致：尾斜杠、大小写、路径分段都不能有差异，比如配置的/auth/google/callback不能写成/auth/google/callback/（多尾斜杠）或/auth/googlecallback（少路径斜杠）
• 禁止携带多余后缀：配置的回调地址不能带查询参数、锚点，代码传参时也不能提前给redirect_uri拼接自定义参数

注意：Google对localhost地址的校验规则远宽松于生产域名，本地环境即使路径有细微差异也可能正常跑通，不能用本地运行正常作为路径配置正确的依据。

2. 修复切换账号场景的参数缺失问题 #

故障仅出现在切换账号重新授权的场景，是典型的漏传prompt参数导致的问题：如果不传该参数，用户浏览器残留之前的Google授权会话时，Google会跳过同意屏幕直接走静默重定向，一旦代码中存在redirect_uri缓存（比如残留本地环境的回调地址），就会直接触发mismatch报错，完全不会展示账号选择界面。
针对使用的googleapis v103.0.0版本，生成授权URL的正确写法参考：

// 从环境变量读取实际配置，禁止硬写敏感值
const PROD_REDIRECT_URI = 'https://<你的heroku应用域名>/auth/google/callback';
const DEV_REDIRECT_URI = 'http://localhost:3000/auth/google/callback';

const authUrl = oauth2Client.generateAuthUrl({
  access_type: 'offline', // 要获取refresh_token必须传该参数
  scope: [
    'https://www.googleapis.com/auth/gmail.readonly',
    // 补充实际需要的Gmail相关权限scope
  ],
  prompt: 'select_account', // 强制弹出账号选择界面，跳过静默授权
  redirect_uri: process.env.NODE_ENV === 'production' ? PROD_REDIRECT_URI : DEV_REDIRECT_URI
});

// 注意：后续用授权码换token的getToken方法，传入的redirect_uri必须和这里完全一致

3. 排查Heroku环境特有问题 #

• 校验环境变量实际生效值：不要默认认为Heroku配置的环境变量是正确的，在生成授权URL的逻辑前加一行日志，打印实际传入的redirect_uri、clientId值，去Heroku运行日志中确认实际传参，很多故障都是因为Heroku Config Vars漏配、错配，代码兜底读了本地开发的localhost地址导致的。
• 确认HTTPS配置正确：Heroku默认会给所有应用提供HTTPS证书，不要在回调接口上额外配置HTTP监听，也不要在GCP中配置HTTP开头的生产回调地址。

4. 最后校验GCP侧配置 #

• 确认生产环境使用的OAuth客户端ID/密钥，和配置了生产重定向URI的凭据是同一套，避免本地、生产凭据混用。
• 确认OAuth同意屏幕已发布为生产状态，如果是测试状态，需要将所有需要授权的Google账号加入测试用户列表（该配置问题一般会报权限错误，极少触发redirect_uri_mismatch，放在最后排查即可）。

内容的提问来源于stack exchange，提问作者nwalkewicz