如何让动态生成的Heroku Review Apps适配Facebook Login的手动重定向URI要求？

我之前帮团队解决过一模一样的问题——Facebook硬要求手动录入所有有效重定向URI，而Heroku Review Apps又随PR动态生成域名，确实头疼。下面是几个亲测有效的方案，你可以根据团队需求选择：

方案1：用Facebook测试应用+Graph API自动配置重定向URI #

这是最贴近真实生产环境的方案，核心思路是给主应用关联一个测试应用，然后在Review App启动时自动调用Facebook Graph API，把当前Review App的域名添加到测试应用的合法重定向URI列表里。

具体步骤：

• 先在Facebook开发者后台给你的主应用创建一个测试应用（测试应用会继承主应用的配置，但独立管理重定向URI）
• 生成一个Facebook应用访问令牌（App Access Token），存在Heroku的环境变量里（比如FACEBOOK_APP_ACCESS_TOKEN）
• 在Heroku Review App的启动脚本或Buildpack里添加一段代码，调用Graph API更新测试应用的重定向URI：

  # 获取当前Review App的域名
  REVIEW_APP_DOMAIN=$(heroku apps:info -s | grep web_url | cut -d= -f2 | sed 's/https\?:\/\///')
  # 调用Graph API添加重定向URI
  curl -X POST "https://graph.facebook.com/v18.0/{TEST_APP_ID}/oauth/settings" \
    -d "access_token=$FACEBOOK_APP_ACCESS_TOKEN" \
    -d "valid_oauth_redirect_uris=https://$REVIEW_APP_DOMAIN/auth/facebook/callback"
  

• 测试应用的登录权限只开放给内部测试人员，避免安全风险

优点：完全模拟真实登录流程，测试结果可靠；无需额外维护第三方服务
缺点：需要处理Graph API的权限和错误情况；测试应用的配置需要和主应用同步

方案2：用固定中间代理做重定向中转 #

如果不想频繁调用Facebook API，可以搭建一个固定域名的代理服务，把它设为Facebook的唯一重定向URI，然后代理服务负责把回调请求转发到对应的Heroku Review App。

具体实现思路：

• 部署一个简单的Node.js/Go服务，域名设为https://fb-login-proxy.yourdomain.com
• 在Facebook后台把这个代理域名作为唯一的重定向URI录入
• 前端发起Facebook登录请求时，把当前Review App的域名编码到state参数里（比如state={REVIEW_APP_DOMAIN}|{CSRF_TOKEN}）
• 代理服务收到Facebook的回调后，解析state里的Review App域名，验证CSRF令牌合法性，然后302重定向到该Review App的回调地址

优点：无需修改Facebook配置，一次设置永久使用；适合多环境多Review App场景
缺点：需要维护额外的代理服务；要做好安全校验，防止恶意跳转

方案3：简化测试流程（适合内部快速验证） #

如果你的Review App只用于内部功能验证，不需要真实的Facebook登录流程，可以用以下简化方案：

• 在Review App里启用模拟登录：前端点击登录按钮后，直接调用后端的模拟接口，生成一个测试用户会话，跳过Facebook的真实授权流程
• 或者用Facebook的测试用户功能，在测试应用里预创建几个测试用户，然后把常用PR编号对应的Review App域名（比如https://app-staging-pr-100.herokuapp.com、https://app-staging-pr-101.herokuapp.com）手动或通过脚本批量加到测试应用的重定向URI里（注意Facebook不支持通配符，只能逐个添加）

优点：实现成本最低，快速上手
缺点：无法测试真实的Facebook登录流程，适合功能验证而非登录流程测试

内容的提问来源于stack exchange，提问作者swrobel