DocuSign授权同意：如何在redirect_uri中传递动态参数并回调返回？

首先明确说：你不能直接在redirect_uri里添加动态参数，因为DocuSign的OAuth系统会对传入的redirect_uri做精确字符串匹配——哪怕只是多了一个参数或者参数值不同，都会被判定为未配置的URL，这就是你报错的原因。

不过别担心，OAuth协议本身就提供了专门的解决方案：用state参数来传递你的动态值，这也是DocuSign官方推荐的做法。

具体实现步骤： #

1. 保持后台配置的redirect_uri固定
   在DocuSign客户端配置页面，只需要配置基础的回调地址：http://localhost:8080/DocuSignCallBack，不需要添加任何参数。

2. 构造授权URL时添加state参数
   把你的动态值（比如ABC123）放到state参数里，完整的授权URL应该是这样：

   https://account-d.docusign.com/oauth/auth?response_type=code&scope=impersonation&client_id=XXXXXX&redirect_uri=http://localhost:8080/DocuSignCallBack&state=ABC123
   

   这里的state值可以是任何你需要的动态内容，比如用户ID、会话标识等。

3. 回调时获取state参数
   当DocuSign完成授权并跳转回你的应用时，会在回调请求中携带code和state两个参数，你可以直接从请求的查询参数里拿到state的值，也就是你之前传入的动态内容。

为什么用state而不是修改redirect_uri？ #

• DocuSign的redirect_uri要求精确匹配，如果你尝试配置带参数的URL，每次动态值变化都会导致URL不匹配，根本无法通用。
• state参数是OAuth 2.0协议的标准字段，专门用于在授权流程中传递自定义状态，既安全又符合规范，还能有效防止CSRF攻击（这也是协议设计这个字段的初衷之一）。

内容的提问来源于stack exchange，提问作者dahln