2

WEBアプリのLINEログインでトークンを取得するとこで{"error":"invalid_grant","error_description":"redirect_uri does not match"}というエラーでトークンの取得に失敗します。

Rails5+devise+omniauth-lineで試してますが、多分その辺の問題は余り関係無いような気がしています。ローカルで試しているのでngrokを使って試しています。

LINE側のログイン画面は下記のようなURLで表示させています。client_idは念のため伏せます。チャンネルIDを指定しています。

https://access.line.me/oauth2/v2.1/authorize?client_id=****&redirect_uri=https%3A%2F%2Fdd7c0812.ngrok.io%2Fusers%2Fauth%2Fline%2Fcallback&response_type=code&scope=profile+openid&state=79baaf82c0c5c1f564fe21ecb2b69722f939c8f010da527e

これでログイン画面は問題なく表示され「ログイン」ボタンを押すと、下記のURLに戻ってきます。これは私のローカルのWEBアプリです。

https://dd7c0812.ngrok.io/users/auth/line/callback?code=ZdpeKTHQMr3FLBCKnImK&state=79baaf82c0c5c1f564fe21ecb2b69722f939c8f010da527e

ここでhttps://api.line.me/oauth2/v2.1/tokenにポストすると{"error":"invalid_grant","error_description":"redirect_uri does not match"}のレスポンスが帰ってきてトークンの取得が出来ません。

ポスト内容はこんな感じです(同じくシークレットはふせます)。

https://api.line.me/oauth2/v2.1/token
Content-Type: application/x-www-form-urlencoded
client_id=***
client_secret=***
code=ZdpeKTHQMr3FLBCKnImK
grant_type=authorization_code
redirect_uri=https%3A%2F%2Fdd7c0812.ngrok.io%2Fusers%2Fauth%2Fline%2Fcallback%3Fcode%3DZdpeKTHQMr3FLBCKnImK%26state%3D79baaf82c0c5c1f564fe21ecb2b69722f939c8f010da527e

実際にはomniauth-lineが全部組み立ててるのでミスは無いと思うのですが失敗してしまうので、何か管理画面側の設定かなと思っています。関係あるか分からないけど試したのは、チャンネルを公開にしてみたのと、ログインを試してるLINEアカウントをチェンネルの権限設定でTesterに登録しました。

LINEのサポートにも問い合わせましたが、散々またされたあげくに、

大変申し訳ございませんが、ドキュメント内設定などの技術的なサポートは個別返信を行っておりません。
不明点などは、LINE Developers ページ内の「FAQ」や「Community」をご参照ください。

とのつれない返事が・・・コミュニティーも見たけどそれっぽい物は有りません。何か思い当たることがある方いらっしゃいますでしょうか?


2019/12/24追記

いただいた回答でファイナルアンサーなのですが、その後ライブラリの中身を追って、何故この問題が起きたのか、どう解決すれば良いのかまとめましたので同じ問題ではまってる人いたら参考にしてください。

https://qiita.com/MasamotoMiyata/items/ccc932e96a4f5dd6c2e1

2 件の回答 2

3

トークンエンドポイント(https://api.line.me/oauth2/v2.1/token)に送信しているリクエストのredirect_uriが正しくない(不要なcodestateパラメーターを付加している)ことが原因です。

エラーは、

"redirect_uri does not match"

なので、トークンリクエストのクエリーストリングで指定したredirect_uri(リダイレクトURI:ユーザーがログインした後のリダイレクト先)が、LINE(=OAuth 2.0の認可サーバー)の管理コンソールで設定したものと完全に一致していないはずです。

[参考] LINE Developers ドキュメント
https://developers.line.biz/ja/docs/line-login/web/integrate-line-login/

最初に認可エンドポイント(https://access.line.me/oauth2/v2.1/authorize)にリクエストを送信したときは、以下のように正常なURI(=LINE側に登録されている「Callback URL」と一致しているURL)なので成功しますが、

redirect_uri=https%3A%2F%2Fdd7c0812.ngrok.io%2Fusers%2Fauth%2Fline%2Fcallback

次にトークンエンドポイント(https://api.line.me/oauth2/v2.1/token)にリクエストを送信したときは、以下のように不正なURL(一致しないURL)なので失敗します。

redirect_uri=https%3A%2F%2Fdd7c0812.ngrok.io%2Fusers%2Fauth%2Fline%2Fcallback%3Fcode%3DZdpeKTHQMr3FLBCKnImK%26state%3D79baaf82c0c5c1f564fe21ecb2b69722f939c8f010da527e

このURLは、URLデコードすると分かりますが、最初のリクエストで指定したURLにLINEで発行された認可コード(code)とstateパラメーターが付加されているので、これを含めないでPOSTする必要があります。

?code=ZdpeKTHQMr3FLBCKnImK&state=79baaf82c0c5c1f564fe21ecb2b69722f939c8f010da527e

[補足]

仕様については、「The OAuth 2.0 Authorization Protocol - 4.1.3. アクセストークンリクエスト」に書いてあります。

redirect_uri
Section 4.1.1 で示す認可リクエストに, redirect_uri パラメーターが含まれていた場合は必須 (REQUIRED). その値をそのまま付与しなくてはいけない (MUST).

0

自分もこれで4時間もどハマリした…。時間を返してくれ。

登録している「コールバックURL」じゃなく、ログイン画面へのリンク時に指定した「redirect_uri」と完全一致しないといけない。つまり、「?」以降のパラメータまでしっかり一緒じゃないといけない。

てか、エラー内容をもっと詳しく吐き出せといいたい。「最初のredirect_uriにパラメータを指定している場合はそれも含める必要がある」の一行くらい書けんのか…。

というか、パラメータくらい省略してもいいだろ。許せよ、そのくらい。codeなんてすぐ期限切れるんだし、パラメータの省略を許したからってセキュリティに問題ができるとは到底思えん。

そういう気遣いの無いところが発展途上すぎて、この先も仕様が変わる事が心配で導入するのを躊躇してしまう。

1
  • 1
    これは(LINE Loginの独自仕様でなく)OAuth2.0で規定されたものです。3.1.2.3. 動的設定で次のように説明されています: "もしクライアントの登録にフルのリダイレクトURIが含まれていた場合, 認可サーバーは [RFC3986] セクション6.2.1.で定義されているように単純な文字列比較を使用し二つのURIを比較しなければいけない (MUST)."/セキュリティ的にセンシティブな箇所なので、詳細なエラーメッセージは攻撃者に情報を与えかねないかと思います。 Commented 2020年5月17日 23:26

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。