配置AWS ALB对接Salesforce OIDC认证出现redirect_uri_mismatch错误如何解决

报错信息：error=redirect_uri_mismatch&error_description=redirect_uri%20must%20match%20configuration

• 首先确认AWS ALB侧OIDC回调地址的固定格式为 https://<ALB绑定的完整域名>/oauth2/idpresponse，该地址必须和你在Salesforce侧填写的回调地址完全一致，包括协议（必须为HTTPS）、域名、路径、大小写，末尾不能多斜杠或其他多余字符
• 排查ALB前端是否部署了CDN、WAF等中间层，确认没有发生域名强制跳转、路径重写的情况，否则会导致实际发起OIDC请求时的redirect_uri和预设值不一致
• 如果ALB绑定了多个可访问域名，需要将所有域名对应的/oauth2/idpresponse地址都添加到Salesforce的授权回调列表中
• 确认测试场景下没有使用HTTP协议访问ALB，ALB OIDC认证要求回调地址必须为HTTPS，测试环境也需要配置有效SSL证书

• 在Salesforce后台创建「连接的应用（Connected App）」，创建时必须启用OAuth设置，开启OpenID Connect支持，至少添加openid、profile、email三个OAuth权限范围
• 在连接的应用的「回调地址（Callback URL）」配置项中，完整填写上文中提到的ALB OIDC回调地址，多个地址可以换行分隔填写
• 进入连接的应用的管理页面，开启「允许所有用户自行授权」选项，或者将需要访问ALB的用户、用户组提前加入该应用的授权列表，避免用户无权限发起认证
• 记录连接的应用生成的客户端ID（Client ID）、客户端密钥（Client Secret），以及对应Salesforce实例的OIDC发现端点（格式为https://<你的Salesforce实例域名>/.well-known/openid-configuration），上述信息需要完整准确填写到AWS ALB的OIDC配置项中
• 确认Salesforce实例的访问控制策略没有拦截ALB的回源请求，保证ALB可以正常调用Salesforce的OIDC相关接口

内容的提问来源于stack exchange，提问作者VIJ