Omniauth-facebook登录失败：本地测试遇不安全登录拦截问题

我刚好碰到过一模一样的情况！Facebook现在对新创建的应用已经强制启用了「Enforce HTTPS for Web OAuth Login」，这个设置没法再手动关闭了——这是他们新的安全政策，只有老应用还保留修改权限。不过别担心，有几个简单的办法能在本地正常测试登录：

方案1：用ngrok生成临时HTTPS公网地址 #

这是最省心的方案，不用折腾本地证书：

• 下载安装ngrok工具
• 先启动你的Rails应用（终端运行rails s），接着在另一个终端执行：ngrok http 3000
• 运行后会得到一个类似https://abc123.ngrok.io的HTTPS地址，复制这个地址
• 打开Facebook开发者控制台，找到你的应用：
  • 进入「Products」→「Facebook Login」→「Settings」
  • 在「Valid OAuth Redirect URIs」里添加https://abc123.ngrok.io/auth/facebook/callback（把abc123换成你实际的ngrok地址）
• 现在用这个ngrok的HTTPS地址访问你的应用，就能正常测试Facebook登录了

方案2：让Rails服务器直接用HTTPS启动 #

适合不想用第三方工具的情况：

• 启动Rails服务器时加上--ssl参数：rails s --ssl
• 打开浏览器访问https://localhost:3000，浏览器会提示证书不安全，这是正常的，找到「高级」选项，选择继续访问本地地址
• 同样要在Facebook开发者控制台的「Valid OAuth Redirect URIs」里添加https://localhost:3000/auth/facebook/callback
• 之后就能在本地HTTPS环境下测试登录了

额外配置提示 #

确保你的OmniAuth配置能适配HTTPS环境，比如在config/initializers/omniauth.rb里：

Rails.application.config.middleware.use OmniAuth::Builder do
  provider :facebook, 
           ENV['FACEBOOK_APP_ID'], 
           ENV['FACEBOOK_APP_SECRET'],
           callback_url: ENV['FACEBOOK_CALLBACK_URL']
end

本地开发时，把环境变量FACEBOOK_CALLBACK_URL设为你用的HTTPS回调地址（ngrok的或者https://localhost:3000/auth/facebook/callback），这样不用每次改代码。

内容的提问来源于stack exchange，提问作者Tony M