TG咨询登录页面能正常打开，不代表回调配置已经通过验收。手机应用云端验收中第三方登录回调地址的配置规范，重点是让身份提供方登记的地址、应用实际使用的地址和当前测试环境彼此匹配。以下五项适合按清单逐一检查；不同登录平台的字段名称和匹配规则可能不同，应以对应平台的配置说明为准。
一、先把开发、验收和生产环境分开
开发机、云端测试包和正式版本可能使用不同的应用标识、签名或服务端入口。若多个环境共用一条回调地址，测试登录可能跳入正式应用，或正式环境误用测试凭据。建议先列出环境，再分别登记回调地址和对应的客户端配置。
- 写明环境名称、应用包或应用标识、回调地址及其用途。
- 检查云端验收包实际携带的应用标识，与身份提供方登记的客户端配置是否对应。
- 确认测试账号和测试数据不会因回调误配进入生产流程。
对不支持多环境配置的平台，可评估是否使用独立客户端配置；不要仅靠口头约定区分环境。
二、逐字符核对登记地址与请求地址
OAuth 2.0 登录流程中的 redirect_uri 用于指定认证完成后的返回位置。很多平台要求请求中提交的地址与控制台登记值精确匹配；协议、主机、路径、大小写和末尾斜杠都可能影响判断。不要假设相似地址会被视为同一个地址。
- 从应用或服务端实际发出的授权请求中读取 redirect_uri。
- 与平台控制台登记值逐字符比较，重点检查路径、大小写及结尾斜杠。
- 确认验收包没有沿用开发环境的旧配置，也没有把回调地址写成登录页面地址。
如平台支持多个登记项，只添加确有用途的地址，并为每个地址标注对应环境。减少无用条目，能降低测试时选错配置的概率。
三、确认回调能被当前应用接住
回调不仅要通过平台校验，还要能到达预期处理程序。移动应用可能使用平台支持的应用链接、通用链接或自定义 URI scheme；具体采用哪种方式，取决于操作系统、身份提供方和应用架构。自定义 scheme 配置简单，但若其他应用也声明相同 scheme，可能产生接收冲突，因此不能只检查平台控制台。
云端验收时的操作顺序
- 确认验收设备安装了本次待测版本，并检查应用声明的回调处理规则。
- 从登录入口发起认证，完成身份提供方页面上的授权操作。
- 观察是否返回原应用、是否落到正确页面，以及应用被关闭或切换后能否继续处理。
- 检查失败提示是否能区分地址不匹配、应用未安装和授权取消等情况。
若回调先经过服务端，再由服务端唤起应用，应把服务端接收地址与应用最终接收地址分别记录，避免把两段链路混为一项。
四、将凭据与安全校验绑定到正确环境
客户端标识、客户端密钥和回调地址属于不同配置项。移动端公开分发的程序不适合把可长期使用的机密直接嵌入包内；需要机密的交换步骤通常应由受控服务端处理，具体架构依身份提供方要求确定。验收时也要确认没有把生产密钥复制到测试包。
此外，检查授权请求与回调处理是否使用 state 防止请求串线；若流程采用 PKCE，还应验证挑战值与后续兑换过程来自同一次登录。回调到达并不等于授权成功，应用仍需校验响应内容并处理拒绝授权、超时和重复返回等情况。
五、用环境矩阵完成验收记录
最后将配置与测试结果放在同一张表中，便于复测和交接。记录实际使用的版本、环境、回调类型、测试时间和结果即可；不要在普通记录中粘贴访问令牌、客户端密钥等敏感信息。
| 核对项 | 通过条件 | 未通过时先查 |
|---|---|---|
| 环境对应 | 验收包使用验收环境配置 | 构建参数和客户端标识 |
| 地址匹配 | 请求地址符合平台登记规则 | 协议、路径、大小写和斜杠 |
| 应用接收 | 授权后返回预期版本和页面 | 系统链接声明及应用处理逻辑 |
| 安全校验 | 请求关联有效，凭据未混用 | state、PKCE及密钥存放位置 |
这样执行手机应用云端验收中第三方登录回调地址的配置规范，能把“平台接受地址”和“应用实际完成登录”分开验证，定位问题时也更清楚。
常见问题
回调地址末尾多一个斜杠会有影响吗？
可能有影响。若平台采用精确匹配，应按登记值原样核对，不要自行增删斜杠。
开发和验收能否共用一个回调地址？
是否可行取决于平台规则和应用架构。若共用会导致配置、凭据或数据串环境，应拆分配置。
平台显示授权成功，为什么应用没有返回？
这通常说明平台授权与设备端接收是两段需要分别检查的流程。先核对回调类型、应用声明和验收包版本，再检查应用处理授权结果的逻辑。
云端验收每次都要检查哪些信息？
至少核对环境、应用版本、实际请求地址、平台登记值和最终返回页面，并记录测试结果；不要记录敏感令牌或密钥。