第三方登录回调报 state 不匹配·会话里存的值怎么丢的

state = secrets.token_urlsafe(16)
session['oauth_state'] = state
# 回调校验
if request.args.get('state') != session.pop('oauth_state', None):
    abort(400)

接入第三方登录后，部分用户在回调时报状态参数不匹配，重试偶尔成功。先别急着动参数，把报错原文和时间点记下来，顺序反了容易白折腾。

原因不复杂，授权前的 state 存在会话里，回调时跨站跳转导致会话丢失或命中另一台实例。

「OAuth state 校验」确认了原因之后，改动尽量只碰那一处，顺手改的东西后面最容易出问题。备份不是备了就行，恢复一次才算数，很多备份文件打开才发现是空的。

接口问题先分清是没发出去、发出去了没收到，还是收到了处理失败。偶发问题先统计频率，一小时几次和一天一次，查法完全不同。

改完顺手把文档补一句，省得下次自己重新推一遍。监控和日志的时间要对上，时区不一致会多绕很大一圈。

处理上按这个顺序：state 存服务端并设置短过期；多实例共享会话；回调地址固定同一域名。

改完只确认一件事：回调校验稳定通过，用户不再看到状态不匹配的错误页。