如何在同一应用中管理多域名的Google API OAuth2授权？

问题根源 #

• 同一客户端ID跨域名使用：Google OAuth2的凭证会与授权时的redirect_uri绑定，其他域名复用同一凭证会被判定为非法访问，直接导致失效。
• 多客户端ID仍出现刷新令牌失效：大概率是刷新操作未匹配对应域名的客户端ID和redirect_uri，或是令牌闲置超过6个月被Google自动回收。

最优解决方案 #

方案一：单客户端ID+多域名白名单（首选） #

Google支持单个OAuth客户端ID绑定多个域名，无需创建多客户端ID，操作步骤：

1. 登录Google Cloud Console，进入目标项目 → 「API和服务」→ 「凭据」→ 选中对应OAuth客户端ID
2. 在「已授权的JavaScript来源」中添加所有业务域名（如https://a.com、https://b.com）
3. 在「已授权的重定向URI」中添加每个域名的回调地址（如https://a.com/oauth/callback、https://b.com/oauth/callback）
4. 应用端逻辑调整：每个域名发起授权请求时，指定自身域名的redirect_uri；授权成功后，将凭证（access_token、refresh_token）与用户ID+域名绑定存储，后续访问Sheets时调用对应域名的凭证。

方案二：多客户端ID+严格隔离配置 #

若必须使用多客户端ID，需确保以下几点：

• 每个客户端ID仅绑定对应域名的授权来源和redirect_uri，避免交叉配置
• 应用端为每个域名分配专属客户端ID，授权、刷新令牌时，严格使用对应域名的客户端ID、密钥和redirect_uri
• 刷新令牌时，必须与获取令牌时的客户端配置完全一致，否则会触发失效
• 定期主动刷新令牌（例如每小时执行一次），避免因长期闲置导致令牌过期

无需每个域名配置独立Gmail账户的优化 #

完全不需要为每个域名单独创建Gmail账户，同一用户可对同一客户端ID下的多域名（或多客户端ID）进行授权，只需在授权页面添加明确提示，比如「授权a.com访问你的Google Sheets数据」，让用户清晰知晓授权用途即可。

关键注意事项 #

• 凭证必须按「用户ID+域名」维度隔离存储，禁止跨域名共享
• 刷新令牌时，客户端ID、密钥、redirect_uri三者必须严格匹配
• 仅申请必要权限（如https://www.googleapis.com/auth/spreadsheets），避免过度授权
• 开启Google Cloud Console的令牌过期提醒，提前处理即将失效的令牌

内容的提问来源于stack exchange，提问作者RolandD