对接Spotify API的WordPress插件OAuth redirect URI如何配置？

1. 关于统一回调到自有域名二次跳转的可行性 #

该方案技术上可行，也是同类多站点部署OAuth插件的常用方案，但需注意两个核心要求：

• 跳转时需将用户站点的实际回调地址加密后存入OAuth请求的state参数中，同时携带CSRF校验随机值，禁止明文传递回调地址，避免授权劫持风险
• 自有中间服务拿到Spotify返回的授权码后，需先校验state参数合法性，再跳转回用户站点的实际回调地址传递授权凭证

该方案的缺点也很明显：你需要自行维护中间服务的稳定性，一旦服务故障所有用户的插件都会失效；同时需要在插件隐私条款中明确告知用户OAuth请求会经过你的服务中转，避免合规风险。

2. 关于动态redirect URI配置的说明 #

Spotify官方OAuth 2.0流程不支持无限制的动态回调地址，所有回调地址必须在Spotify开发者后台预先登记，请求时的回调地址需要和登记值完全匹配才能通过校验，不管使用普通授权码模式还是带PKCE的授权码模式都需满足该要求，不存在直接动态填写不同站点域名就能通过校验的方法。

3. 其他可行解决方案 #

这里按优先级给两个落地选项：

• 优先选择：在插件设置页增加配置项，引导用户自行到Spotify开发者后台注册独立应用，填写自己站点的回调地址后，将申请到的Client ID、Client Secret填入插件配置中。该方案无需你维护额外的中转服务，用户使用自己的API配额，完全规避中转带来的稳定性、合规风险，仅需在插件内配套详细的操作引导降低用户上手门槛即可。
• 次选方案：如果要降低用户操作门槛，可优化中转跳转逻辑，给每个使用插件的站点生成唯一的加密标识，回调时通过标识匹配对应站点的回调地址，进一步降低参数篡改风险。

内容的提问来源于stack exchange，提问作者milan Smeets