OAuth 接入的常见错误

OAuth 接入的坑大多不在写代码，而在信任边界。

回调地址

生产与开发环境的回调必须分别注册，不能共用。回调地址写错时表现为登录成功但立刻掉线，很难一眼看出。

state 校验

必须校验 state 防止授权码注入。省略这一步的接入看起来能用，但存在被诱导绑定他人账号的风险。

邮箱可信度

不要假设 OAuth 返回的邮箱一定已验证。是否可用来登录或重置密码，取决于提供方的验证状态。

沙箱与域名

在代理域名或沙箱预览域上，OAuth 回调通常无法完成。测试请用邮箱密码，不要把这当成 bug。