能否用Go脚本借助Google服务账号模拟OAuth2授权流获取认证Cookie？

我正在编写调用某网站API的Go脚本，该API仅支持通过请求头中的Cookie携带认证令牌进行鉴权，而该令牌会在OAuth2的redirect_uri回调响应中设置，且仅能通过Google OAuth2方式完成网站鉴权。因此我需要模拟OAuth2授权流以获取网站API的认证Cookie。

我尝试使用golang.org/x/oauth2/google包，以服务账号身份处理OAuth2授权流程，但仅得到授权窗口页面，并未借助服务账号信息自动完成授权。以下是我的代码（已移除错误处理以提升可读性）：

package main

import (
   "context"
   "encoding/json"
   "fmt"
   "io"
   "net/http"
   "os"

   "golang.org/x/oauth2/google"
)

func main() {

   scope := Scope{
       Profile: "https://www.googleapis.com/auth/userinfo.profile",
       Email:   "https://www.googleapis.com/auth/userinfo.profile",
   }

   credentialsFile, _ := os.Open("my_private_key.json")

   credentials, _ := io.ReadAll(credentialsFile)

   conf, _ := google.JWTConfigFromJSON(credentials, scope.Email,  scope.Profile)

   client := conf.Client(context.Background())

   resp, _ := client.Get(getOauthWindowURL())

   fmt.Printf("%+v\n", resp)

   body, _ := io.ReadAll(resp.Body)

   page, err := os.Create("page.html")
   if err != nil {
       panic(err)
   }

   page.Write(body)
   page.Close()

   //fmt.Println(string(body))
}

func getOauthWindowURL() string {

   client := &http.Client{}

   resp, err := client.Get("oauth2/consent/URL/website_API/endpoint")
   if err != nil {
       panic(err)
   }
   defer resp.Body.Close()

   bodyJson, _ := io.ReadAll(resp.Body)

   body := AuthBody{}

   json.Unmarshal(bodyJson, &body)

   return body.AuthorizationUrl
}

type Scope struct {
   Profile string
   Email   string
}

type AuthBody struct {
   AuthorizationUrl string `json:"authorization_url"`
}

授权流程如下：

• 客户端请求OAuth2授权窗口URL
• 网站API返回包含重定向回调URI的该URL
• 客户端完成OAuth2授权流，最终从网站回调中获取认证Cookie

核心疑问：能否在Go脚本中使用Google服务账号模拟完成OAuth2授权窗口的流程？

结论：不能直接用Google服务账号完成该流程 #

原因如下：

1. 流程类型不匹配：Google服务账号的JWT授权属于无用户交互的服务器到服务器模式，而你对接的网站要求的是需用户手动授权的授权码流程（Authorization Code Flow）。服务账号并非普通Google用户账号，无法触发网站所需的用户授权逻辑，自然无法自动完成授权窗口的流程。
2. 代码逻辑错误：你当前用JWT配置生成的Client去请求授权窗口URL，本质是用服务账号身份访问需要用户授权的页面，只会返回需要手动点击授权的页面，不会自动完成授权。

可行替代方案 #

若要自动完成授权流程获取Cookie，可采用以下方式：

• 使用浏览器自动化库：比如Go的chromedp库，启动无头浏览器模拟真实用户操作：
  1. 打开网站返回的授权窗口URL
  2. 自动填入普通Google用户账号的凭据（注意：必须是真实用户账号，不能用服务账号）
  3. 完成授权后从浏览器Cookie池中提取目标网站的认证Cookie
• 域范围授权（仅限G Suite域管理员）：若网站支持Google服务账号的域范围授权，可配置服务账号模拟指定域内用户完成授权，但需网站支持且你拥有域管理员权限
• 检查是否支持密码授权（不推荐）：若网站开放OAuth2密码授权流程，可直接用用户账号密码获取令牌，但该流程安全性低，大部分正规网站不会开放

内容的提问来源于stack exchange，提问作者Nikolay Ditchev