VK Oauth:安全错误

Question

我在试着批准我的独立申请。但是，在我单击“允许”之后，它总是重定向到http://oauth.vk.com/error?err=2，并将其作为响应主体：

{"error":"invalid_request", "error_description":"Security Error"}

以下是请求URL (我确实有正确的client_id)：

https://oauth.vk.com/authorize?client_id=...&scope=messages,offline&redirect_uri=https://oauth.vk.com/blank.html&display=page&v=5.37&response_type=token

好像我什么都试过了：

• 打开或关闭应用程序
• 将scope作为位掩码传递
• URI编码一些参数以获得正确的URL
• 诸若此类

Answer 1

经过几个小时的搜索，我找到了这。

因此，这意味着用户有一个旧会话，必须在浏览器中重新登录.

Answer 2

state参数中的空格会导致这种情况。

OAuth 2 RFC、4.1.1应授权请求和4.1.2关于授权响应部分建议使用state参数来维护授权代码流中的状态，特别是防止CSRF。

当我将这个字段设置为CSRFTOKEN123 http://my.site/next/url时，我得到了这个错误。用:替换(空格)以获得CSRFTOKEN123:http://my.site/next/url帮助。

顺便说一句，我在VK文档网站上没有发现任何提到state参数的地方，但是VK OAuth 2授权系统实际上支持它。否则不能称为OAuth 2。因此，我认为使用state参数是合理的。

作者提到的话题30635058现在已经结束，目前的讨论是24428376。有有关这方面的问题数目。都是俄语。