如何解决social-auth-app-django接入Facebook登录的线上域名报错

这个报错是Facebook OAuth流程的强制域名校验拦截。本地环境功能正常但线上失效，是因为Facebook对开发模式下的localhost回调校验宽松，切换到正式线上后会开启严格校验，差异点基本集中在后台配置匹配、OAuth回调地址生成、代理透传三个维度，按以下优先级逐一排查即可快速定位：

优先核对Facebook后台的配置匹配度 #

• 「设置-基本」板块的「应用域名」字段，必须填写线上站点的根域名，不能带http/https前缀、不能带路径。比如线上访问域是meetme.twojadomena.pl，这里就填纯域名文本，填带协议或者带路径的内容会直接触发校验失败。
• 「Facebook登录-配置」板块的「有效OAuth重定向URI」字段，必须逐字匹配social-auth生成的完整回调地址。这个地址固定为：线上站点全域名 + /oauth/complete/facebook/，比如https://meetme.twojadomena.pl/oauth/complete/facebook/，差一个斜杠、差一个协议头都会被拦截。注意不要把你配置的SOCIAL_AUTH_LOGIN_REDIRECT_URL = '/przekierowanie/'填到这里——这个是授权完成后的业务跳转地址，不是OAuth回调地址，属于高频配置误区。
• 检查Facebook应用的上线状态：如果应用还处于「开发模式」，只有后台添加的测试账号能正常走登录流程，普通访客访问就会触发类域名不匹配的拦截报错，需要切换为正式上线状态才能对外提供服务。

核对Django侧的回调地址生成逻辑 #

• 检查django.contrib.sites的站点配置：确认当前线上对应的Site记录，Domain值和实际访问的域名完全一致。social-auth生成回调地址时会优先读取这个配置，哪怕你开启了SOCIAL_AUTH_REDIRECT_IS_HTTPS，如果Site值填的是本地localhost域名，生成的回调地址会和线上域名不匹配，直接触发报错。
• 验证代理透传配置是否生效：你已经配置了SECURE_PROXY_SSL_HEADER和SOCIAL_AUTH_REDIRECT_IS_HTTPS，需要在临时调试页面打印social-auth最终生成的OAuth授权链接，检查回调部分的协议是否为https、域名是否为线上正式域名。如果Nginx/反向代理没有把X-Forwarded-Proto头透传给Django，哪怕强制开启了HTTPS跳转，Django生成的回调地址可能还是http开头的，和Facebook要求的https URI不匹配就会被拦截。
• 核对线上环境的App ID、App Secret是否和Facebook后台配置的应用完全一致：如果直接复制本地的测试应用密钥到线上，密钥对应的应用和你配置域名的应用不是同一个，也会触发校验类报错。

容易遗漏的细节排查 #

• 如果站点是挂载在反向代理的子路径下（比如https://twojadomena.pl/meetme/），生成的OAuth回调地址会自动带上子路径前缀，对应的URI也要同步完整填到Facebook的有效重定向列表里。
• 检查Facebook后台必填字段是否缺失：如果没有填写隐私政策URL、用户数据删除URL，Facebook会触发连带的校验拦截，提示域名不匹配。

内容的提问来源于stack exchange，提问作者Mwt_0239