OAuth2授权返回‘Unauthorized access’及回调未执行问题求助

一、补全/google回调的完整OAuth2.0流程 #

OAuth2.0授权码模式必须走完「触发授权→回调获取授权码→换取token」全流程，回调未执行大概率是授权请求路由未配置，或回调地址与Google控制台映射不一致。

1. 配置授权请求路由 #

先添加触发Google授权的路由，引导用户跳转到Google授权页面：

const { google } = require('googleapis');
const OAuth2 = google.auth.OAuth2;

// 初始化OAuth2客户端
const oauth2Client = new OAuth2(
  '你的CLIENT_ID',
  '你的CLIENT_SECRET',
  '你的REDIRECT_URI' // 必须与Google控制台配置完全一致，如http://localhost:3000/google
);

// 生成授权URL，必须包含邮件最高权限
const authUrl = oauth2Client.generateAuthUrl({
  access_type: 'offline', // 必须添加才能获取refresh_token
  scope: ['https://mail.google.com/'], // 发邮件需最高权限，低权限会导致授权失败
  prompt: 'consent' // 强制每次授权都返回refresh_token（可选，用于调试）
});

// 触发授权的路由
app.get('/auth/google', (req, res) => {
  res.redirect(authUrl);
});

2. 配置/google回调路由 #

用户授权后，Google会跳转到你配置的redirect_uri，此处需处理授权码并换取token：

app.get('/google', async (req, res) => {
  const { code } = req.query;
  try {
    // 用授权码换取access_token和refresh_token
    const { tokens } = await oauth2Client.getToken(code);
    oauth2Client.setCredentials(tokens);
    
    // 将tokens（重点是refresh_token）存入数据库，供后续发邮件调用
    console.log('获取到的Token信息:', tokens);
    
    res.send('授权成功，可使用Nodemailer发送邮件');
  } catch (err) {
    console.error('回调获取Token失败:', err);
    res.status(500).send('授权失败，请重试');
  }
});

注意：首次授权才会返回refresh_token，若需重新获取，需让用户取消对应用的Google应用授权，或在generateAuthUrl中添加prompt: 'consent'参数。

二、排查「Unauthorized access」错误 #

已确认基础配置正确，从以下维度再排查：

• 权限范围是否正确：Nodemailer OAuth2发邮件必须使用https://mail.google.com/权限，不能用https://www.googleapis.com/auth/gmail.send等低权限scope，否则会直接触发授权失败。
• 验证refresh_token有效性：用以下代码测试refresh_token是否能正常换取新的access_token：

async function validateRefreshToken() {
  oauth2Client.setCredentials({
    refresh_token: '你的REFRESH_TOKEN'
  });
  try {
    const { credentials } = await oauth2Client.refreshAccessToken();
    console.log('新的access_token:', credentials.access_token);
    return true;
  } catch (err) {
    console.error('refresh_token无效:', err);
    return false;
  }
}
validateRefreshToken();

若此处报错，说明refresh_token已失效（用户取消授权、scope不匹配或授权时redirect_uri不一致），需重新走授权流程获取。

• Nodemailer transporter配置检查：确保transporter参数完全匹配：

const transporter = nodemailer.createTransport({
  service: 'gmail',
  auth: {
    type: 'OAuth2',
    user: '你的GMAIL邮箱', // 必须与OAuth授权的账号一致
    clientId: '你的CLIENT_ID',
    clientSecret: '你的CLIENT_SECRET',
    refreshToken: '你的REFRESH_TOKEN',
    accessToken: oauth2Client.credentials.access_token // 可留空，Nodemailer会自动用refresh_token换取
  }
});

三、常见踩坑点 #

• 本地测试时，redirect_uri必须用http://localhost:端口/回调路径，不能用127.0.0.1，否则Google会判定地址不匹配。
• 线上部署时，需同步更新Google控制台的redirect_uri为线上域名地址。
• 敏感信息（client_secret、refresh_token等）不要硬编码，用环境变量管理。

内容的提问来源于stack exchange，提问作者georgio bou sleimen