如何关闭Facebook应用中灰化的「Use Strict Mode for Redirect URIs」功能

我很清楚你遇到的这个麻烦——自从2018年3月Facebook强制开启「Use Strict Mode for Redirect URIs」并将这个选项灰化锁死后，不少依赖动态查询参数的OAuth集成都踩过坑，尤其是Sitecore Social Connected这种每次登录都会生成独特state参数的场景。下面给你两个经过实践验证的解决方案：

方案1：配置Sitecore固定回调URI（推荐） #

Sitecore Social Connected本身支持使用不带动态参数的固定回调路径，完全适配Facebook的Strict Mode规则：

• 登录Sitecore后台，进入Sitecore Launchpad → Control Panel → Social Settings → Social Providers
• 找到Facebook提供商的配置项，将Redirect URI设置为你的Sitecore实例的固定回调地址，比如：https://your-sitecore-domain/sitecore/social/facebook/authenticate
• 回到Facebook开发者后台，在Valid OAuth Redirect URIs中填写完全一致的固定URI（不要添加任何查询参数，包括state）

这里要划重点：Facebook的Strict Mode仅校验回调URI的域名和路径部分，不会检查查询参数。state参数是在OAuth前端跳转流程中传递的，Sitecore会自动处理它的验证，完全不会触发Facebook的Strict Mode拦截。

方案2：灵活路径匹配（针对多环境/子域名场景） #

如果你的Sitecore有多个部署环境或者子域名，你可以利用Facebook的路径前缀匹配规则：

• 在Facebook后台的Valid OAuth Redirect URIs中填写根路径，比如：https://your-sitecore-domain/sitecore/social/facebook/（注意末尾的斜杠）
• 确保这个路径下只有Sitecore的Facebook回调相关请求，避免安全风险

验证步骤 #

配置完成后，按以下步骤确认是否生效：

1. 清除浏览器缓存和Sitecore服务器缓存
2. 发起Sitecore Social Connected的Facebook登录请求
3. 检查回调时的URI，确认固定路径部分与你配置的一致，且state参数被Sitecore正确识别和验证

另外，记得删除Facebook后台中之前添加的带state参数的无效URI，避免冲突。

内容的提问来源于stack exchange，提问作者Matthew Dresser