http - 如果 OAuth2 回调无效，我应该返回什么状态

Question

在 OAuth2 中，我的服务器首先将用户重定向到服务的授权服务器。如果用户接受并且一切顺利，授权服务器应该将用户重定向回我用正确的授权代码定义的回调 url。

但是，如果对回调 url 的请求无效(即格式错误的参数、缺少授权码等)，服务器应该返回什么状态？我在想 400 Bad Request 或 500 Internal server error，但这真的不是服务器的错。

Answer 1

RFC 6749 Section 4.1.2.1描述了这种情况。

“如果请求由于丢失、无效或不匹配的重定向 URI 而失败，或者如果客户端标识符丢失或无效，授权服务器应该将错误通知资源所有者并且不得自动重定向用户代理到无效的重定向 URI”

关于要添加的错误消息有进一步的描述。