NextAuth接入自定义MoneyButton OAuth提供商时出现oauth报错如何解决

本次Invalid client: client is invalid的400报错，本质是令牌交换环节的客户端认证方式不匹配，和你填写的clientId、clientSecret是否正确没有直接关系：

• NextAuth v4版本对OAuth2提供商的令牌请求，默认会把clientId、clientSecret作为form-data字段放到请求体里发送
• MoneyButton的OAuth2令牌接口强制要求客户端凭证必须放在HTTP Basic Auth的请求头里校验，读不到请求头里的凭证时，就会返回笼统的Invalid client错误，哪怕你填的凭证完全正确。

• 第一步：在MoneyButton的provider配置中，新增client_auth_method: "basic"字段，强制NextAuth用Basic Auth的方式携带客户端凭证请求令牌接口，这是解决当前400报错的核心配置
• 第二步：清理无效冗余配置
  • 删除OAuth1.0专属的requestTokenUrl字段，该配置对OAuth2流程无意义，还可能触发框架的协议识别偏差
  • 删除authorizationUrl中手动拼接的?response_type=code参数，NextAuth会在授权阶段自动补充该参数，手动拼接反而可能出现参数重复的问题
• 第三步：严格校验回调地址的匹配一致性
  确认MoneyButton开放平台后台填写的回调地址，和NextAuth自动生成的回调地址完全一致：
  • 无末尾斜杠、无大小写偏差、无额外查询参数
  • 地址值固定为http://localhost:3000/api/auth/callback/moneybutton
    注意MoneyButton的回调校验是严格字符串匹配，哪怕地址差一个字符，即使授权跳转阶段流程正常，到换token环节也会校验失败，且其错误提示有时候不会精准报redirect_uri_mismatch，会笼统归到Invalid client的错误分类里，需要逐字符比对。
• 第四步：确认令牌请求参数完整性
  不需要手动额外添加redirect_uri字段，NextAuth会自动根据provider的id拼接对应回调地址随令牌请求发送，只要后台注册的地址和自动生成的地址完全匹配，即可正常通过校验。

export default NextAuth({
  providers: [
    {
      id: "moneybutton",
      name: "Money Button",
      type: "oauth",
      version: "2.0",
      // 强制用Basic Auth方式携带客户端凭证，解决Invalid client报错
      client_auth_method: "basic",
      scope: "auth.user_identity:read users.profiles:read users.profiles.email:read users.balance:read",
      params: {
        grant_type: "authorization_code"
      },
      accessTokenUrl: "https://www.moneybutton.com/oauth/v1/token",
      authorizationUrl: "https://www.moneybutton.com/oauth/v1/authorize",
      profileUrl: "https://www.moneybutton.com/api/v1/auth/user_identity",
      profile(profile) {
        return {
          id: profile.data.attributes.id,
          name: profile.data.attributes.name,
        };
      },
      // 生产环境建议将凭证存入环境变量，不要硬编码在代码中
      clientId: process.env.MONEYBUTTON_CLIENT_ID,
      clientSecret: process.env.MONEYBUTTON_CLIENT_SECRET
    }
  ],
  debug: true
});

修改配置后如果仍有报错，可以在debug日志中找到实际发往accessTokenUrl的请求报文，重点核对两个点：

• 确认请求头中存在Authorization: Basic <base64编码的clientId:clientSecret>字段
• 确认请求体中的redirect_uri值和MoneyButton后台注册的回调地址完全一致

内容的提问来源于stack exchange，提问作者Dedal