Node环境下Reddit API OAuth授权invalid_grant错误求助

嘿，我之前在做Reddit OAuth的时候也碰到过一模一样的问题！刚拿到授权码就报invalid_grant，当时快把我急疯了，后来排查出几个常见的坑，你可以挨个检查下：

• 严格匹配重定向URI
  Reddit OAuth对redirect_uri的匹配要求到了“吹毛求疵”的程度：你发起令牌请求时POST的redirect_uri，必须和第一步获取授权码时用的完全一致——连末尾的斜杠、大小写都不能差。比如授权时用的是https://yourapp.com/auth/callback，拿令牌时就不能写成https://yourapp.com/auth/callback/，哪怕只差一个斜杠都会直接触发这个错误。

• 确保授权码完整传递
  授权码是一串随机字符，很容易在传递过程中被截断或者编码错误。要检查：

  • 回调接口拿到的code参数有没有被误处理（比如URL解码多做了一次，或者框架自动转义了特殊字符）
  • POST请求里的code参数和回调拿到的完全一致，没有漏字符、改大小写

• 检查POST请求的格式和参数
  Reddit要求令牌请求必须用application/x-www-form-urlencoded格式发送，不能用JSON。请求体里必须包含以下参数：

  grant_type=authorization_code
  code=你的授权码
  redirect_uri=你的回调地址
  client_id=你的客户端ID
  

  别把这些参数放到URL的查询字符串里，也别用JSON格式打包，否则服务器识别不了，就会返回invalid_grant。

• 排查是否重复使用了授权码
  虽然你说刚拿到授权码，但有可能你的代码里不小心发起了两次POST请求——比如回调接口被重复触发，或者调试时误点了两次请求。授权码是一次性的，用一次就失效，哪怕间隔只有几秒。可以在回调逻辑里加个日志，看看是不是同一个code被发送了多次。

• 确认客户端身份验证正确
  如果你的应用是后端类型的“机密客户端”，需要在POST请求里添加Basic Auth头：把client_id和client_secret用冒号拼接后做Base64编码，格式是Basic <Base64(client_id:client_secret)>。如果身份验证出错，Reddit有时候不会返回明确的“身份验证失败”，而是用invalid_grant来混淆你。如果是前端类型的“公共客户端”，则不需要这个头，但要确保client_id正确传递。

内容的提问来源于stack exchange，提问作者Ashley