如何无需重复授权即可实现应用与Google Calendar的双向同步？

核心方案：利用OAuth 2.0的刷新令牌（Refresh Token） #

这是Google OAuth体系里专门解决长期授权问题的机制，完全能满足你无需用户重复登录就能发事件的需求，具体逻辑和步骤如下：

1. 首次授权时必须请求offline权限 #

用户第一次授权你的应用时，在OAuth授权请求里一定要加上access_type=offline参数。只有请求了离线访问权限，Google才会返回刷新令牌——这个令牌是长期有效的（除非用户主动撤销授权或者令牌因安全原因被吊销），而非只能用1小时的临时访问令牌。

2. 安全存储刷新令牌 #

把用户的刷新令牌加密后存入你的数据库，这属于敏感信息，绝对不能明文存储或泄露给前端。

3. 发送事件时的令牌处理逻辑 #

• 每次调用Calendar API发送事件前，先检查当前保存的访问令牌是否过期（可以通过令牌的过期时间判断，或者直接尝试调用API，收到401响应再处理）。
• 如果访问令牌仍有效，直接用它调用事件创建/更新接口即可。
• 如果访问令牌已过期，就用之前存储的刷新令牌向Google的令牌端点发送请求，换取新的访问令牌（有时会返回新的刷新令牌，记得同步更新数据库存储），再用新的访问令牌调用API。

关键注意事项 #

• 刷新令牌并非永久有效：如果用户长期未使用应用，或者在Google账号的第三方应用权限设置中移除了你的应用，刷新令牌会失效。此时需要引导用户重新完成一次授权流程，获取新的刷新令牌。
• 做好异常处理：针对刷新令牌失效、网络请求失败等情况，要给用户明确的提示，避免操作静默失败影响体验。

内容的提问来源于stack exchange，提问作者Étalo Holanda