基于Django allauth的Google OAuth令牌有效期延长及RefreshError问题排查

让我来帮你逐一解决这两个问题：

问题1：如何延长访问令牌有效期？最长可延长至多久？支持永久有效吗？ #

首先要明确：Google的访问令牌（access token）本身的有效期是固定的1小时，无法直接通过编程方式延长。不过你可以通过刷新令牌（refresh token）来自动获取新的访问令牌，以此实现用户长期保持登录状态的需求。

关于刷新令牌的有效期：

• 如果你正确配置了access_type: "offline"，Google会返回一个长期有效的刷新令牌。在合规使用的前提下（比如用户定期使用你的应用、没有触发Google的安全策略），这个刷新令牌可以持续生效超过6个月甚至更久。
• 但Google不支持永久有效的令牌：如果用户连续6个月没有使用你的应用，或者Google检测到异常登录行为、应用权限变更，刷新令牌可能会被撤销。

你的核心解决方案不是延长访问令牌，而是确保应用能自动使用刷新令牌获取新的访问令牌——这正是我们要解决第二个问题的关键。

问题2：明明有Refresh Token，为什么出现RefreshError？ #

你遇到的错误google.auth.exceptions.RefreshError: The credentials do not contain the necessary fields need to refresh the access token，本质是因为你创建Credentials对象时缺少了两个关键参数：scopes和token_uri。

google-auth库需要这两个参数来知道如何向Google的OAuth服务器请求新的访问令牌。你的代码里只传入了token、refresh_token、client_id、client_secret，这不足以完成刷新流程。

修复步骤： #

1. 修改你的get_credentials_google函数，补充缺失的参数：

import googleapiclient.discovery
import googleapiclient.errors
from allauth.socialaccount.models import SocialAccount, SocialApp
from google.oauth2.credentials import Credentials
from django.conf import settings

def get_credentials_google(user):
    app_google = SocialApp.objects.get(provider="google")
    account = SocialAccount.objects.get(user=user)
    user_tokens = account.socialtoken_set.first()
    
    # 从配置中获取Google的权限范围
    google_scopes = settings.SOCIALACCOUNT_PROVIDERS['google']['SCOPE']
    
    creds = Credentials(
        token=user_tokens.token,
        refresh_token=user_tokens.token_secret,
        client_id=app_google.client_id,
        client_secret=app_google.secret,
        scopes=google_scopes,
        token_uri="https://oauth2.googleapis.com/token",  # Google的令牌刷新端点
    )
    return creds

2. 确保刷新令牌确实被正确存储：

   • 如果你之前在没有prompt: "consent"的情况下让用户授权过，Google可能不会返回新的刷新令牌。此时需要让用户重新授权，或者将AUTH_PARAMS调整为：

     "AUTH_PARAMS": {
         "access_type": "offline",
         "prompt": "select_account consent",  # 强制用户重新选择账号并授权，确保返回refresh token
     },
     

   • 检查SocialToken模型的token_secret字段，确认它确实存储了有效的刷新令牌（而不是空值或错误内容）。

3. 验证Google Cloud Console配置：

   • 确保你的OAuth 2.0客户端ID在Google Cloud Console中开启了"离线访问"权限（通常默认开启，但可以检查确认）。

完成这些修改后，googleapiclient库会在访问令牌过期时自动使用刷新令牌获取新的令牌，无需用户手动重新授权。

内容的提问来源于stack exchange，提问作者Ayush Agrawal