Google Apps Script OAuth2状态令牌不匹配问题求助

问题背景 #

在实现多Google账号授权脚本时，回调函数持续触发「State token mismatch」错误，导致授权失败。已完成OAuth consent screen配置验证、scope校验及多账号测试，但问题仍存在。

核心解决建议 #

1. 移除手动State Token处理，依赖OAuth2库自动管理

你的代码中手动设置了State Token，但缺少完整的生成-存储流程，且OAuth2库本身会自动生成并验证State Token，手动处理易导致不匹配。建议删除自定义State Token的相关代码，让库自动完成校验：

function createOAuthService() { // 移除stateToken参数
  const scopes = [
    // 你的权限范围列表
  ];

  const service = OAuth2.createService('Google')
    .setAuthorizationBaseUrl('https://accounts.google.com/o/oauth2/auth')
    .setTokenUrl('https://oauth2.googleapis.com/token')
    .setClientId(CLIENT_ID)
    .setClientSecret(CLIENT_SECRET)
    .setCallbackFunction('authCallback')
    .setRedirectUri(REDIRECT_URI)
    .setPropertyStore(PropertiesService.getUserProperties())
    .setScope(scopes.join(' '))
    .setParam('access_type', 'offline')
    .setParam('approval_prompt', 'force');

  // 删掉手动设置state的if块
  Logger.log('OAuth Scopes: ' + scopes.join(', '));
  Logger.log('OAuth Service Created.');
  
  return service;
}

2. 移除authuser硬编码参数

代码中authuserParam = '0'会强制绑定第一个登录账号，与多账号授权需求冲突，易导致会话状态异常引发State不匹配：

// 从createOAuthService中删除这一行
// .setParam('authuser', authuserParam)

3. 修正回调函数的State校验逻辑

OAuth2库的handleCallback方法会自动验证State Token，无需手动对比存储的token，删除回调中的手动校验代码：

function authCallback(request) {
  Logger.log('authCallback invoked');
  Logger.log('Request Object: ' + JSON.stringify(request));

  const service = createOAuthService();
  
  let authorized;
  try {
    authorized = service.handleCallback(request);
  } catch (e) {
    Logger.log('Error handling callback: ' + e.message);
    return HtmlService.createHtmlOutput('授权失败：' + e.message);
  }

  if (authorized) {
    logAuthorizedUser();
    Logger.log('授权成功');
    return HtmlService.createHtmlOutput('授权成功，可关闭此窗口');
  } else {
    Logger.log('授权失败');
    return HtmlService.createHtmlOutput('授权失败，请重试');
  }
}

4. 清理残留的用户属性

旧的授权缓存可能导致冲突，添加清理函数重置用户属性：

function clearAuthCache() {
  const userProps = PropertiesService.getUserProperties();
  userProps.deleteAllProperties(); // 会删除所有用户级属性，执行前确认
}

5. 确认部署ID与Redirect URI一致

确保REDIRECT_URI中的your-deployment-id是当前脚本的最新部署ID，每次重新部署后ID会变更，需同步更新。

6. 更新OAuth2库到最新版本

当前使用的OAuth2库key为官方库，建议在脚本编辑器中更新库版本，避免旧版本的State处理bug。

内容的提问来源于stack exchange，提问作者Eve007