前后端分离的页面在请求第三方授权时如何保证授权 token 可以绑定到当前账号

[DoUSeeMe]

一定要认真地看下我的前提，一定要认真地看下我的前提，一定要认真地看下我的前提！！！

前提：

• 前后端分离的页面请求第三方授权，也就是使用页面本身使用 jwt 鉴权然后另外请求第三方授权
• 请求授权的第三方 url 固定
• 第三方授权回调的 url 不允许带有 query，如果使用 domain/auth/id_123 这种回调格式可行，但需要在第三方的后台去一个个填写地址，这显然不能实现
• 不使用 Session
• 第三方不提供给回调同时返回的可设置的变量

问题：如当前的用户 A 需要请求第三方授权，获取第三方授权后返回的 token 该如何确定是 A 发出的请求授权？

[DoUSeeMe]

@mxT52CRuqR6o5 文档没说不许带，不过我就算是只加了个 “?” 在 url 后面，PayPal 就会报错 redirect_uri 格式无效

[huijiewei]

@DoUSeeMe redirect_uri url_encode 没有

[lewinlan]

不许带 query，不用问号不就得了？
用斜杠划分 token 呗

[index90]

所以用第三方登录的时候，从第三方鉴权回来后，要么自动给你创建一个以第三方账号 id 作为用户 id 的本地账号。要么走注册流程，要求用户输入邮箱等信息。要么用户提前在配置页绑定好第三方账号。

[blessyou]

@DoUSeeMe #21 .... 你可以去一下我的网站的第三方登录按钮的信息，我看了 PayPal 的文档 和 Google Github 的一模一样。你文档没看懂而已。https://happysooner.com/login-and-register

[b821025551b]

@DoUSeeMe #21 redirect_uri 是你提供给第三方回调的地址，当然不需要你去加 query 并且不可提供 query 啊，query 内容是第三方返回给你的。。。

[DoUSeeMe]

@huijiewei 肯定有的

[NoKey]

马一个，围观