使用OneAll社交登录WordPress插件遇安全登录拦截问题求助

我完全理解你现在的困扰——用OneAll社交登录WordPress站点时，被提示「Insecure Login Blocked. Try reloading the page as https://.」，想调整Facebook开发者后台的HTTPS强制设置却发现按钮是禁用状态，排查完插件和API配置还是没解决问题。下面给你一步步的实操方案：

一、先确保WordPress站点本身的HTTPS配置正确 #

错误提示核心指向HTTPS问题，先把站点的基础HTTPS配置捋顺：

• 登录WordPress后台，进入设置 > 常规，检查「WordPress地址(URL)」和「站点地址(URL)」是否都以https://开头。如果是HTTP开头，直接修改为HTTPS地址（修改前记得备份站点，避免出现访问异常）。
• 确认你的站点已经安装了有效的SSL证书，访问时浏览器地址栏的锁图标是正常状态，没有安全警告。
• 如果你用了Cloudflare这类CDN，检查CDN的SSL模式是否设置为「严格」或「灵活」（根据服务器实际配置选择），并且开启了「强制HTTPS跳转」的选项。

二、解锁Facebook开发者后台的「Enforce HTTPS for Web OAuth Login」按钮 #

这个按钮被禁用，大概率是因为你的应用回调地址里还有HTTP链接，或者应用处于开发模式受限：

1. 打开Facebook开发者后台，进入你的目标应用，转到产品 > Facebook登录 > 设置页面。
2. 找到「Valid OAuth Redirect URIs」区域，检查里面的所有地址——只要有一个是HTTP开头的，就会导致按钮锁定。把所有HTTP地址替换成对应的HTTPS版本（OneAll插件的回调地址可以从插件设置页面复制，通常是https://你的域名/wp-content/plugins/oa-social-login/includes/这类格式）。
3. 更新完所有回调URI后刷新页面，你会发现「Enforce HTTPS for Web OAuth Login」的切换按钮已经可以正常点击了。
4. 另外，如果你的应用还处于「开发模式」，部分高级设置会受限。你可以先添加测试用户（在应用的「角色」设置里操作），或者完成基础的应用审核切换到「上线模式」。

三、重新校验OneAll插件的配置细节 #

别漏了插件本身的HTTPS配置检查：

• 进入WordPress后台的OneAll社交登录设置页，确认「API Domain」是HTTPS格式（OneAll提供的API地址一般是https://你的专属子域名.api.oneall.com）。
• 核对插件里的「Callback URL」是否是HTTPS地址，并且和Facebook开发者后台里的「Valid OAuth Redirect URIs」完全一致。
• 保存设置后，清空WordPress缓存和浏览器缓存，再尝试登录测试。

四、额外排查方向 #

• 如果你安装了Wordfence、iThemes Security这类安全插件，检查是否有规则阻止了HTTPS回调请求，或者限制了OneAll的API访问。
• 联系你的服务器提供商，确认服务器的SSL配置支持TLS 1.2及以上版本（Facebook目前要求使用较新的TLS协议版本）。

内容的提问来源于stack exchange，提问作者Zainal Muttaqin