Google OAuth2 避免重复授权提示的正确实现方法_技术教程

本文详解如何通过本地缓存与刷新令牌机制，避免 google oauth2 登录时每次触发 approval prompt，确保用户仅首次授权后即可静默登录。

Google OAuth2 默认行为看似“每次登录都要求重新授权”，实则并非服务端强制限制，而是客户端未妥善复用已获取的访问令牌（Access Token）和刷新令牌（Refresh Token）所致。与 GitHub OAuth 不同，Google 的 approval_prompt=auto（默认值）仅表示：当用户已为当前 client_id 授予过对应 scope 权限，且 token 仍有效或可刷新时，不显示授权页面。若应用每次启动都忽略已有 token、直接发起全新授权请求，Google 就会视为“新授权流程”，从而反复弹出 approval prompt。

正确做法是：持久化存储 OAuth2 Token，并在每次启动时优先尝试复用与刷新。使用 golang/oauth2 库时，应结合 oauth2.TokenSource 实现智能凭证管理。以下为关键实践步骤：

持久化 Token 到磁盘（如 JSON 文件）
使用 token.Expiry 判断是否过期，用 token.Valid() 辅助校验：

func tokenFromFile(file string) (*oauth2.Token, error) {
    f, err := os.Open(file)
    if err != nil {
        return nil, err
    }
    defer f.Close()
    t := &oauth2.Token{}
    err = json.NewDecoder(f).Decode(t)
    return t, err
}

func saveToken(file string, token *oauth2.Token) error {
    f, err := os.Create(file)
    if err != nil {
        return err
    }
    defer f.Close()
    return json.NewEncoder(f).Encode(token)
}

构建支持自动刷新的 TokenSource
利用 config.TokenSource(ctx, token) —— 它内部会自动检测过期并调用 refresh endpoint（需 offline access_type 获取 refresh_token）：

// 初始化 config 时务必设置 AccessType="offline"
config := &oauth2.Config{
    ClientID:     "your-client-id",
    ClientSecret: "your-client-secret",
    RedirectURL:  "http://localhost:8080/callback",
    Endpoint:     google.Endpoint,
    Scopes:       []string{"email", "profile", "https://www.googleapis.com/auth/plus.login"},
    // ? 关键：启用离线访问以获得 refresh_token
    AccessType: "offline",
}

// 复用已有 token 或触发授权
tok, err := tokenFromFile("token.json")
if err != nil || !tok.Valid() {
    // 启动 Web 流程获取新 token（仅首次或失效时）
    url := config.AuthCodeURL("state", oauth2.AccessTypeOffline)
    // ... 启动浏览器、处理回调、调用 config.Exchange(...)
    // 保存新 token
    saveToken("token.json", tok)
}

// 创建可自动刷新的 HTTP client
client := config.Client(context.Background(), tok)
// ✅ 此 client 在 token 过期时将静默刷新，不再触发 approval prompt

⚠️ 重要注意事项：