部署于基础认证后的Doorkeeper OAuth客户端配置问题求助

首先，你遇到的Encoding::UndefinedConversionError是因为直接把Basic认证凭证嵌入到site URL中的方式，会让oauth2 gem在处理URL编码时出现字符转换冲突——尤其是当凭证包含特殊字符或非ASCII字符时，这种编码问题更容易触发。下面是两种可行的解决方案：

方案一：在OmniAuth OAuth2策略中添加Basic认证请求头 #

不要将凭证放在URL里，而是通过设置OAuth2客户端的默认请求头来传递Basic认证信息，这样既符合HTTP规范，又能彻底避免编码问题。修改你的MyAuth策略如下：

require 'omniauth-oauth2'
require 'base64'

module OmniAuth
  module Strategies
    class MyAuth < OmniAuth::Strategies::OAuth2
      option :name, "MyAuth"

      # 拆分配置：site地址单独设置，不嵌入凭证
      option :client_options, {
        site: ENV['OAUTH_SITE_URL'] # Staging环境填"https://my-staging-server.info"
      }

      # 重写client方法，针对性添加Basic认证头
      def client
        super.tap do |client_instance|
          # 仅在Staging环境启用该逻辑，不影响生产
          if Rails.env.staging?
            credentials = "#{ENV['STAGING_USERNAME']}:#{ENV['STAGING_PASSWORD']}"
            encoded_credentials = Base64.strict_encode64(credentials)
            client_instance.default_headers['Authorization'] = "Basic #{encoded_credentials}"
          end
        end
      end

      uid{ raw_info['id'] }

      info do
        {
          remote_id: raw_info['remote_id'],
          name: raw_info['name'],
          email: raw_info['email']
        }
      end

      extra do
        { 'raw_info' => raw_info }
      end

      def raw_info
        @raw_info ||= access_token.get('/api/me').parsed
      end
    end
  end
end

这个方案的核心优势：

• 把site地址和认证凭证解耦，避免URL编码冲突
• 用Base64.strict_encode64正确处理凭证编码，符合Basic认证的标准格式
• 仅在Staging环境生效，不会干扰生产环境的正常逻辑

方案二：通过Rack中间件为OAuth请求自动添加认证头 #

如果不想修改OmniAuth策略代码，也可以在子应用的Rack中间件层面，对发往Staging OAuth服务端的请求统一添加Basic认证头。

首先创建中间件文件lib/staging_oauth_basic_auth.rb：

require 'base64'

class StagingOAuthBasicAuth
  def initialize(app)
    @app = app
  end

  def call(env)
    request = Rack::Request.new(env)
    # 匹配Staging OAuth服务端的域名，仅对目标请求添加认证头
    if request.host == 'my-staging-server.info' && Rails.env.staging?
      credentials = "#{ENV['STAGING_USERNAME']}:#{ENV['STAGING_PASSWORD']}"
      encoded_credentials = Base64.strict_encode64(credentials)
      env['HTTP_AUTHORIZATION'] = "Basic #{encoded_credentials}"
    end
    @app.call(env)
  end
end

然后在config/application.rb中注册这个中间件：

config.middleware.use StagingOAuthBasicAuth if Rails.env.staging?

这个方案的好处是无需改动认证策略代码，对所有发往目标域名的请求统一处理，但要注意精准匹配域名，避免影响其他业务请求。

为什么不推荐IP白名单方案？ #

你提到的Heroku动态IP确实是硬伤：Heroku的Web dyno没有固定出站IP，虽然部分插件可以提供静态IP路由，但配置复杂且增加成本，还需要针对OAuth请求单独配置代理，实施难度远高于添加请求头的方案。相比之下，直接在请求层面传递Basic认证是更简单、可靠的选择。

内容的提问来源于stack exchange，提问作者demental