ASP.NET Core 2.0谷歌第三方登录报错：OAuth令牌端点需代理认证

这个问题我之前帮好几个开发者排查过，核心是你的本地服务在请求谷歌OAuth令牌端点时，被网络里的代理服务器拦住了——从返回的Proxy-Authenticate: NEGOTIATE, NTLM, BASIC头信息就能看出来，代理要求你提供身份验证凭据才能继续访问外部服务。

下面是几个针对性的解决办法，你可以根据自己的项目类型来试：

• 配置系统/环境级代理
  如果你的项目是在终端里启动的，先给终端设置代理环境变量，把代理的地址、账号密码填进去（如果代理需要认证的话）：
  比如Linux/macOS终端：

  export HTTP_PROXY=http://your-proxy-username:your-proxy-password@proxy-server:port
  export HTTPS_PROXY=http://your-proxy-username:your-proxy-password@proxy-server:port
  

  Windows命令提示符：

  set HTTP_PROXY=http://your-proxy-username:your-proxy-password@proxy-server:port
  set HTTPS_PROXY=http://your-proxy-username:your-proxy-password@proxy-server:port
  

  设置完再重启你的本地服务，让它读取这些代理配置。

• 在项目框架里指定代理
  如果你用的是特定的开发框架，直接在框架的配置里加代理信息会更可靠：
  比如Spring Boot，在application.properties里添加：

  # HTTP代理配置
  spring.http.proxy.host=proxy-server
  spring.http.proxy.port=port
  spring.http.proxy.username=your-proxy-username
  spring.http.proxy.password=your-proxy-password
  # HTTPS代理同样配置
  spring.http.proxy.https.host=proxy-server
  spring.http.proxy.https.port=port
  spring.http.proxy.https.username=your-proxy-username
  spring.http.proxy.https.password=your-proxy-password
  

  Node.js的Passport谷歌OAuth插件，你可以在创建OAuth实例时指定代理：

  const GoogleStrategy = require('passport-google-oauth20').Strategy;
  const proxy = require('proxy-agent');
  
  passport.use(new GoogleStrategy({
      clientID: YOUR_CLIENT_ID,
      clientSecret: YOUR_CLIENT_SECRET,
      callbackURL: "/auth/google/callback",
      // 配置代理
      agent: proxy('http://your-proxy-username:your-proxy-password@proxy-server:port')
    },
    function(accessToken, refreshToken, profile, cb) {
      User.findOrCreate({ googleId: profile.id }, function (err, user) {
        return cb(err, user);
      });
    }
  ));
  

• 排查本地抓包工具
  如果你开了Charles、Fiddler这类抓包工具，它们本身就是本地代理，可能会和网络代理冲突。试试暂时关闭这些工具，再重新发起谷歌登录请求，看异常是否消失。

• 处理NTLM类型的代理认证
  如果你的公司用的是NTLM代理认证（返回头里有NTLM），普通的账号密码配置可能不管用。比如Java项目可以引入jcifs-ng库来支持NTLM代理，或者在系统的代理设置里提前保存好NTLM凭据，让应用自动调用。

最后提醒下：代理的账号密码别硬编码在代码里，用环境变量或者配置中心来管理，避免泄露敏感信息。你也可以先手动用curl测试下谷歌令牌端点：

curl -x http://your-proxy-username:your-proxy-password@proxy-server:port https://oauth2.googleapis.com/token

如果能正常返回（哪怕是错误的请求参数提示），说明代理配置没问题，再去排查项目里的OAuth配置。

内容的提问来源于stack exchange，提问作者San