GitHub OAuth поддерживает несколько redirect URI: чек-лист exact match, wildcard и refresh token. Выгрузить список callbacks без client secret, нормализовать scheme, host, port и path; добавить один exact staging URI, провести authorization-code flow с state и PKCE на тестовом client, затем отдельно проверить refresh и revoke. Практический результат —.
1. Зафиксируйте точный симптом и границу ответа
Команда добавляет staging и production redirect URI и одновременно включает short-lived tokens, но wildcard или неверный callback может расширить доверие, а отсутствие offline_access изменить ожидаемую жизнь сеанса. Рабочая граница материала — именно запрос «как настроить до 10 redirect uri и short lived refresh tokens в github oauth app и проверить wildcard risk». До любого действия запишите версию, один наблюдаемый симптом, время и ожидаемый результат. Не переносите вывод на другую версию, роль, операционную систему или соседний продукт без повторной сверки. Новостная карточка или форумное обсуждение могут быть лишь lead: они не доказывают причину, охват или популярность.
2. Отделите свежее событие от технического доказательства
14 августа 2026 года GitHub объявил до 10 redirect URI и short-lived OAuth tokens с access token на 8 часов и refresh token на 6 месяцев, а также предупредил о wildcard; 28 августа changelog и OAuth flow сверены. Первый источник фиксирует: GitHub Changelog от 14 августа 2026 года подтверждает до 10 redirect URI, access tokens на 8 часов, refresh tokens на 6 месяцев, режим offline_access и предупреждения о legacy wildcard, который теперь виден в настройках. Второй официальный контракт уточняет: Официальная GitHub Docs описывает authorization-code flow, redirect_uri, state, PKCE, exchange и token use; это контракт для негативных и happy-path тестов, но не основание публиковать client secret или authorization code в логах. Из этих двух текстов не следует, что любой похожий симптом вызван тем же механизмом. Дата, версия, область действия и оговорки источника остаются частью ответа.
3. Проведите один обратимый контрольный тест
Выгрузить список callbacks без client secret, нормализовать scheme, host, port и path; добавить один exact staging URI, провести authorization-code flow с state и PKCE на тестовом client, затем отдельно проверить refresh и revoke. До теста сохраните исходное значение или копию только затрагиваемого объекта, заранее определите признак успеха, отрицательный исход и команду возврата. Меняйте ровно один фактор и повторяйте тот же контрольный вход. Не сбрасывайте профиль, не удаляйте данные, не отключайте защиту и не подменяйте сетевой маршрут ради удобного результата.
4. Прочитайте матрицу исходов без подмены причины
Матрица «callback × environment × exact/wildcard × token lifetime × refresh × revoke», тест на одном временном client, план возврата к прежнему exact URI и стоп-линия до массовой ротации клиентов или секретов. Успешный redirect не доказывает защиту от подмены: отдельно проверяются state, PKCE, exact host/path, срок жизни и отказ после искажённого URI, а не только happy path. В каждой ячейке записывайте только наблюдаемый факт, а не предполагаемую причину. Если симптом исчез, это подтверждает границу контрольного теста, но не универсальную причину для всех конфигураций. Если результат неоднозначен, верните исходное состояние и соберите минимальный воспроизводимый пример.
5. Остановитесь до необратимого шага и эскалируйте минимум
Не добавлять широкий wildcard, не менять production callback и не ротировать client secret без полного списка клиентов, окна совместимости и проверенного плана отката. Для поддержки соберите версию продукта, время с timezone, один обезличенный код ошибки или статус, один контрольный шаг и его результат. Удалите имена, email, IP, account IDs, tokens, ключи, полные конфиги и приватные ссылки. Красные флаги для немедленной остановки: потеря данных, секрета или доступа, влияние на несвязанных пользователей, отсутствие копии или невозможность возврата.
Материал подготовлен редакцией VOne с помощью ИИ; технические утверждения постатейно сверены с указанными официальными и первичными источниками 28 августа 2026 года.
Источники и проверка
- GitHub OAuth multiple redirect URIs проверено 2026-08-28
- Authorizing GitHub OAuth apps проверено 2026-08-28
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.