基于Django+django-allauth处理Facebook取消授权回调的技术问题

嘿，我之前在做Django+django-allauth集成Facebook登录时，也遇到过一模一样的base64填充错误！Facebook的signed_request里的payload部分用的是URL安全的base64编码，而且经常不带标准的填充字符=，直接用Python的base64.b64decode就会报错，这就是问题所在。

下面是我整理的完整解决方案，一步步来：

1. 先理解Facebook取消授权回调的核心流程 #

当用户在Facebook端移除你的应用时，Facebook会向你预先设置的回调URL发送一个POST请求，请求里包含signed_request参数，这个参数包含了用户的ID和取消授权的时间戳等信息。我们需要解析这个参数，然后在Django里处理用户关联状态的更新。

2. 处理Base64填充错误的关键步骤 #

Facebook用的是URL安全的Base64编码（把+换成-，/换成_），而且可能省略末尾的=填充字符。Python的base64模块默认要求严格的格式，所以我们需要先对payload做预处理：

• 把URL安全的字符换回标准Base64字符
• 计算需要补充的填充字符数量，补全=

3. 完整的Django视图实现 #

import base64
import json
from django.http import HttpResponse, HttpResponseBadRequest, HttpResponseMethodNotAllowed
from django.views.decorators.csrf import csrf_exempt
from django.contrib.auth import get_user_model
from allauth.socialaccount.models import UserSocialAuth

User = get_user_model()

@csrf_exempt
def facebook_deauthorize(request):
    if request.method == 'POST':
        signed_request = request.POST.get('signed_request')
        if not signed_request:
            return HttpResponseBadRequest("Missing signed_request")
        
        # 拆分签名和payload部分
        signature_part, payload_part = signed_request.split('.', 1)
        
        # 处理URL安全的Base64，补全填充
        payload_part = payload_part.replace('-', '+').replace('_', '/')
        # 计算需要补充的填充数
        padding = 4 - len(payload_part) % 4
        if padding != 4:
            payload_part += '=' * padding
        
        # 解码payload为JSON
        try:
            payload = json.loads(base64.b64decode(payload_part))
        except (json.JSONDecodeError, base64.binascii.Error):
            return HttpResponseBadRequest("Invalid signed_request")
        
        # 可选但重要：验证签名（确保请求来自Facebook）
        # 这里需要用到你的Facebook应用的App Secret，建议从环境变量读取
        # import hmac
        # import hashlib
        # import os
        # app_secret = os.environ.get('FACEBOOK_APP_SECRET')
        # expected_signature = hmac.new(app_secret.encode(), payload_part.encode(), hashlib.sha256).digest()
        # # 把签名部分也处理成标准Base64并解码
        # signature = base64.urlsafe_b64decode(signature_part + '=' * (4 - len(signature_part) % 4))
        # if not hmac.compare_digest(signature, expected_signature):
        #     return HttpResponseForbidden("Invalid signature")
        
        # 处理用户取消授权的逻辑：找到对应的UserSocialAuth并标记为失效
        try:
            social_auth = UserSocialAuth.objects.get(provider='facebook', uid=payload['user_id'])
            # 可以选择删除关联，或者设置一个标记字段
            social_auth.delete()
            # 或者 social_auth.extra_data['authorized'] = False; social_auth.save()
        except UserSocialAuth.DoesNotExist:
            # 用户可能已经在本地删除了关联，忽略即可
            pass
        
        return HttpResponse("Success")
    return HttpResponseMethodNotAllowed(['POST'])

4. 配置回调URL #

记得在Facebook开发者后台的应用设置里，把这个视图的URL（比如https://your-domain.com/facebook/deauthorize/）设置为“取消授权回调URL”，同时确保Django的ALLOWED_HOSTS包含你的域名，并且视图禁用了CSRF保护（因为Facebook的请求不会带CSRF token）。

5. 和django-allauth的配合 #

上面的代码里已经用到了UserSocialAuth模型，这正是django-allauth用来存储用户第三方登录关联的模型，删除或者标记这个对象后，用户下次登录就需要重新授权你的应用了。

这样处理后，Base64的填充错误应该就解决了，你就能准确捕捉到用户移除Facebook应用的时机啦！

内容的提问来源于stack exchange，提问作者martinarroyo