Google OAuth2 避免重复授权提示的正确实现方式

霞舞 2026-01-18 00:00:00 次阅读

google oauth2 默认每次登录都弹出授权确认页，根本原因在于未复用有效的访问令牌（access token）或刷新令牌（refresh token）。通过本地持久化并校验令牌有效性，可确保用户仅首次登录需授权，后续自动静默续期。

在使用 golang/oauth2 库实现 Google 登录时，关键误区是每次请求都生*新授权 URL 并忽略已有令牌状态。即使 approval_prompt=auto（默认值），只要未向 OAuth2 配置传入有效的 *oauth2.Token，Google 服务端就无法识别用户已授权上下文，从而强制触发权限确认流程。

正确做法是：在应用启动时尝试加载并复用本地缓存的令牌，并利用 oauth2.Config.TokenSource() 自动处理刷新逻辑。示例实现如下：

import (
    "context"
    "os"
    "golang.org/x/oauth2"
    "golang.org/x/oauth2/google"
)

var tokenFile = "google_token.json"

func loadToken() (*oauth2.Token, error) {
    data, err := os.ReadFile(tokenFile)
    if err != nil {
        return nil, err
    }
    return oauth2.TokenFromJSON(data)
}

func saveToken(t *oauth2.Token) error {
    data, err := t.MarshalJSON()
    if err != nil {
        return err
    }
    return os.WriteFile(tokenFile, data, 0600)
}

func getTokenConfig() *oauth2.Config {
    return &oauth2.Config{
        ClientID:     "your_client_id",
        ClientSecret: "your_client_secret",
        RedirectURL:  "http://localhost:8080/callback",
        Scopes: []string{
            "https://www.googleapis.com/auth/userinfo.email",
            "https://www.googleapis.com/auth/userinfo.profile",
        },
        Endpoint: google.Endpoint,
    }
}

func getValidToken(ctx context.Context) (*oauth2.Token, error) {
    cfg := getTokenConfig()

    // 尝试加载已有令牌
    tok, err := loadToken()
    if err == nil && !tok.Expired(ctx) {
        return tok, nil
    }

    // 若无有效令牌，则走完整授权流程（仅首次或过期后）
    authURL := cfg.AuthCodeURL("state", oauth2.AccessTypeOffline, oauth2.ApprovalForce)
    // → 用户访问 authURL 完成授权，获取 code 后调用 cfg.Exchange(...)
    // （此处省略 HTTP handler 实现，重点在 token 复用逻辑）

    // 假设已获得 code
    // tok, err = cfg.Exchange(ctx, code)
    // if err != nil { return nil, err }
    // saveToken(tok) // 持久化新令牌

    return tok, err
}