Google OAuth2 频繁弹出授权确认页的解决方案

本文详解如何通过本地缓存并复用有效的 oauth2 访问令牌（access token）与刷新令牌（refresh token），避免 google 登录时重复触发 approval prompt，实现类似 github 的“一次授权、长期免审”体验。

Google OAuth2 默认行为与 GitHub 不同：即使 approval_prompt=auto（且未显式设为 force），只要客户端未提供 有效的、未过期的访问令牌，Google 授权服务器仍会重新显示权限确认页。这并非 bug，而是其安全策略——它不依赖“用户是否曾授权该应用”，而严格依据“当前是否存在可用令牌”。

关键在于：OAuth2 流程中，首次授权成功后，Google 会返回 access_token 和 refresh_token（需在初始请求中包含 access_type=offline）。后续登录时，不应每次都重走完整授权流程，而应：

1. 启动时尝试从本地（如文件、数据库）加载已保存的 token；
2. 检查该 token 是否有效（token.Valid()）；
3. 若有效，直接使用它调用 Google API，完全跳过授权 URL 跳转；
4. 若已过期但含 refresh_token，则静默刷新（tokenSource.Token() 自动处理）；
5. 仅当无有效 token 或刷新失败时，才生成新授权 URL 并引导用户。

以下是使用 golang.org/x/oauth2 的典型实现逻辑（精简版）：

func getTokenFromCache(config *oauth2.Config) (*oauth2.Token, error) {b, err := os.ReadFile("token.json")     if err != nil {return nil, err}     var t oauth2.Token     err = json.Unmarshal(b, &t)     return &t, err }  func saveTokenToFile(token *oauth2.Token) error {b, err := json.Marshal(token)     if err != nil {return err}     return os.WriteFile("token.json", b, 0600) }  // 主认证逻辑 func doAuth(config *oauth2.Config) *http.Client {tok, err := getTokenFromCache(config)     if err == nil && tok.Valid() {         // 直接复用有效 token         return config.Client(context.Background(), tok)     }      // 否则触发授权流程（仅此时生成 auth URL）url := config.AuthCodeURL("state", oauth2.AccessTypeOffline, oauth2.ApprovalForce)     log.Printf("Visit the URL: %s", url)     // …… 获取 code 后调用 config.Exchange(……)     // 保存新 token     saveTokenToFile(tok)     return config.Client(context.Background(), tok) }

⚠️ 注意事项：

• 必须在首次 AuthCodeURL() 调用时传入 oauth2.AccessTypeOffline，否则 Google 不返回 refresh_token；
• oauth2.ApprovalForce 仅用于首次强制获取离线令牌，日常登录绝不应使用；生产环境应移除该参数，保持 auto；
• token.Valid() 内部已检查 Expiry 并自动尝试刷新（若含 refresh_token），无需手动判断过期时间；
• token.json 文件需设为私有权限（如 0600），防止敏感凭据泄露；
• 若用户主动在 Google 账户中撤回权限（https://www.php.cn/link/bb84a8628d7c605534b9a9a0bd50e9f4），刷新将失败，此时需清空本地 token 并重新授权。

总结：Google 的“每次弹窗”本质是客户端未正确管理令牌生命周期所致。通过 持久化存储、启动时校验、静默刷新三步，即可实现平滑的单点登录体验——核心不在 URL 参数，而在 token 的全生命周期管控。