站点开启 QQ/微信 OAuth 后，大部分时间登录正常，但大约每 5 次会有 1 次微信扫码后跳回 /user-sign/ 并带 403。本地复现不出，线上偶发。
已排查
1. 服务器时间同步正常；2. 回调域名已在微信开放平台配置；3. 缓存插件已排除。
站点开启 QQ/微信 OAuth 后，大部分时间登录正常，但大约每 5 次会有 1 次微信扫码后跳回 /user-sign/ 并带 403。本地复现不出，线上偶发。
1. 服务器时间同步正常；2. 回调域名已在微信开放平台配置；3. 缓存插件已排除。
偶发 403 多为回调 state/nonce 在多标签页或 CDN 边缘节点不一致导致。建议：① 回调地址加白名单；② 缩短 nonce 有效期并写入 WP_Session；③ 在 oauth.php 失败分支打日志定位。