SonarQube对接GitLab OAuth认证成功后跳转至GitLab首页故障咨询

你遇到的invalid_grant报错本质是GitLab校验OAuth2流程的重定向URI或授权码不合法导致的，结合你「认证实际生效但跳转错误」的表现，具体可能成因如下：

• 回调地址完全不匹配：SonarQube发起授权请求时携带的redirect_uri参数，与你在GitLab OAuth应用中填写的回调地址存在协议、域名/IP、端口、路径的差异，GitLab拒绝第二次兑换令牌的请求
• GitLab反向代理头配置错误：GitLab前端的Nginx未正确传递X-Forwarded-Proto头，导致GitLab认为用户访问协议是HTTP，与你配置的HTTPS回调地址校验不通过
• 授权码重复使用：网络延迟或前端跳转逻辑异常，导致同一个授权码被两次用于兑换令牌，第一次兑换成功（所以用户实际已登录），第二次兑换失败触发跳转错误
• SonarQube Base URL配置错误：SonarQube自动生成回调地址依赖Base URL，若Base URL和实际访问地址不一致，会导致生成的回调地址与GitLab配置不符

• 校验回调地址一致性
  打开浏览器开发者工具的「网络」面板，重新触发GitLab认证流程，定位到GitLab的/oauth/authorize授权请求，查看请求参数中的redirect_uri值，确认其与GitLab OAuth应用中配置的https://IP:PORT/oauth2/callback/gitlab完全一致，无任何字符差异
• 核对SonarQube Base URL配置
  登录SonarQube管理员账号，进入「配置 > 通用设置 > 服务器基础URL」，确认该值与GitLab回调地址的前缀完全匹配，例如回调地址为https://192.168.1.2:9000/oauth2/callback/gitlab，则Base URL必须为https://192.168.1.2:9000，不可使用HTTP、不可遗漏端口、不可末尾多斜杠
• 修正GitLab反向代理配置
  编辑GitLab前端Nginx的配置文件，增加以下转发头配置：

  server {
      listen 443 ssl;
      server_name 你的GitLab域名;
      # ssl证书配置省略
      location / {
          proxy_pass http://GitLab实际服务地址;
          proxy_set_header Host $host;
          proxy_set_header X-Real-IP $remote_addr;
          proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
          proxy_set_header X-Forwarded-Proto $scheme;
      }
  }
  

  同时修改GitLab配置文件/etc/gitlab/gitlab.rb，调整以下配置：

  external_url '你的GitLab对外HTTPS访问地址'
  nginx['listen_https'] = false
  nginx['listen_port'] = 80
  gitlab_rails['trusted_proxies'] = ['Nginx服务器的IP地址段']
  

  执行gitlab-ctl reconfigure使配置生效
• 排查重复请求问题
  临时禁用所有浏览器插件，重新测试认证流程，若故障消失则是重定向类插件导致的重复请求。若仍存在问题，检查是否有自定义的SonarQube前端代理、跳转脚本导致回调接口被重复调用
• 重置OAuth凭证
  以上步骤都排查完成后仍有问题，到GitLab OAuth应用页面重新生成Application ID和Secret，更新到SonarQube的GitLab认证配置中，重启SonarQube服务后测试

内容的提问来源于stack exchange，提问作者lnksz