某天 GitHub 登录突然回调报 error=Configuration，两台服务器同时挂，而当天恰好上线了数据库读写分离——第一反应当然是怀疑部署。本文复盘如何用依赖 lock diff + 数据库最后成功登录时间排除部署嫌疑，定位到真正根因：GitHub 2026 年 4 月起分批灰度 RFC 9207（回调注入 iss 参数），撞上 Auth.js 给无 issuer provider 用的占位符校验。修复只有一行，但排查方法和「探针验证法」值得留档。
公众号带参数二维码做扫码登录，上线即遭 48001——排查穿过 IP 白名单、token 缓存、后台权限页、业务域名四个假嫌疑后，官方 rid 诊断揭晓：该接口只给「认证的非个人主体服务号」，认证企业公众号也不行且类型不可互转。本文复盘 rid/quota 诊断三板斧，并给出订阅号可用的替代方案：固定二维码 + 6 位验证码 + NextAuth database session 手工铸造。