移动端应用如何处理重定向URL——OAuth 2.0授权码流程（含PKCE）

哥们儿，我完全懂你不想在App里塞个内嵌浏览器的执念——那种体验确实割裂，还容易埋下安全隐患。针对Android上的OAuth2授权码+PKCE流程，不用浏览器的话，有两个原生方案特别靠谱，给你拆解得明明白白：

这是最容易上手的方案，几乎所有Android版本都支持，核心是用一个专属的URL协议让系统把授权回调路由到你的App：

• 第一步：配置Manifest
  在你处理回调的Activity里添加Intent Filter，指定你的自定义Scheme（比如myapp://oauth/callback）：

  <activity android:name=".OAuthCallbackActivity">
      <intent-filter>
          <action android:name="android.intent.action.VIEW" />
          <category android:name="android.intent.category.DEFAULT" />
          <category android:name="android.intent.category.BROWSABLE" />
          <data
              android:scheme="myapp"
              android:host="oauth"
              android:path="/callback" />
      </intent-filter>
  </activity>
  

• 第二步：配置OAuth服务商后台
  把myapp://oauth/callback这个地址添加到服务商的“授权重定向URL”列表里。
• 第三步：发起授权请求
  用Intent.ACTION_VIEW唤起系统默认浏览器（用户自己选的浏览器，不是你App里的），把授权请求的redirect_uri设为这个Scheme。授权完成后，服务商跳转到这个URL，系统会直接打开你的OAuthCallbackActivity，你从getIntent().getData()里就能提取到授权码code了。
• 注意点：PKCE流程正常走就行——生成code_challenge和code_verifier，和授权请求一起传，这个和重定向方式完全不冲突。另外为了防止Scheme被其他App恶意劫持，可以在回调时验证App的签名。

如果追求更高的安全性和流畅体验，App Links是最佳选择，它绑定了你自己的域名，只有你的App能处理这个链接，不会出现Scheme冲突：

• 第一步：准备域名
  你需要拥有一个自己可控的域名，比如https://yourapp.com/oauth/callback。
• 第二步：配置Manifest
  同样在回调Activity里添加Intent Filter，不过这次用HTTPS Scheme，还要加上android:autoVerify="true"：

  <activity android:name=".OAuthCallbackActivity">
      <intent-filter android:autoVerify="true">
          <action android:name="android.intent.action.VIEW" />
          <category android:name="android.intent.category.DEFAULT" />
          <category android:name="android.intent.category.BROWSABLE" />
          <data
              android:scheme="https"
              android:host="yourapp.com"
              android:path="/oauth/callback" />
      </intent-filter>
  </activity>
  

• 第三步：配置资产验证文件
  在你的域名下创建.well-known/assetlinks.json文件，内容包含你的App包名和签名证书的SHA-256指纹，这样系统会验证这个链接专属你的App。举个例子：

  [
      {
          "relation": ["delegate_permission/common.handle_all_urls"],
          "target": {
              "namespace": "android_app",
              "package_name": "com.yourapp.package",
              "sha256_cert_fingerprints": ["你的SHA-256指纹"]
          }
      }
  ]
  

• 第四步：配置服务商后台并发起请求
  把https://yourapp.com/oauth/callback添加到服务商的重定向URL列表，发起授权请求时用这个地址。授权完成后，系统会直接打开你的App，连用户选择的步骤都省了，体验丝滑。

• 不管用哪种方案，回调时一定要验证state参数——你发起请求时生成一个随机的state，回调时对比，防止CSRF攻击。
• 坚决别用WebView！除了体验割裂，WebView容易被注入攻击，而且不符合OAuth2对公开客户端的安全规范。
• PKCE是必须的！移动端属于公开客户端（没法安全存储客户端密钥），PKCE能有效防止授权码被拦截盗用，这个流程千万别省。

内容的提问来源于stack exchange，提问作者Sanjay