Chrome扩展集成Monday.com时用auth code换取token返回500错误如何解决

• 首先确认请求方法错误：Monday OAuth2兑换token的接口https://auth.monday.com/oauth2/token仅支持POST请求，你当前用GET请求传参数会直接触发服务端500错误。
• 确认参数是否完整：兑换token的必填参数除了code、client_id、client_secret外，还必须传grant_type=authorization_code，以及和第一步获取auth code时完全一致的redirect_uri，缺少任意必填参数都会导致服务端报错。
• 检查code提取逻辑的兼容性：当前的code提取代码在回调url没有除code外的其他查询参数时，code.indexOf("&")会返回-1，导致截取的code值错误，可改用URLSearchParams直接提取参数避免该问题。
• 排查密钥暴露风险：不要在Chrome扩展前端代码中硬编码client_secret，前端环境的密钥可被用户轻易提取滥用，建议将兑换token的逻辑迁移到后端服务，前端仅将获取到的auth code传给后端完成后续兑换流程。

chrome.identity.launchWebAuthFlow(
  {
    interactive: true,
    url: `https://auth.monday.com/oauth2/authorize?client_id=${MONDAY_CLIENT_ID}&state=${MONDAY_STATE}&redirect_uri=${MONDAY_REDIRECT_URI}&scope=me:read+boards:read+boards:write+updates:write`,
  },
  async (url?: string) => {
    if (!url) return
    // 更安全的code提取方式
    const urlObj = new URL(url)
    const code = urlObj.searchParams.get('code')
    if (!code) return

    try {
      // 生产环境请将code传给自己的后端完成token兑换，不要在前端传递client_secret
      const res = await axios.post('https://auth.monday.com/oauth2/token', {
        code,
        client_id: MONDAY_CLIENT_ID,
        client_secret: CLIENT_SECRET, 
        grant_type: 'authorization_code',
        redirect_uri: MONDAY_REDIRECT_URI
      })
      console.log(res.data)
    } catch (err) {
      console.error('兑换token失败', err.response?.data || err.message)
    }
  }
);

内容的提问来源于stack exchange，提问作者Denis Dombrovski