如何在Node.js中为多用户处理Google API刷新令牌事件

你的思路完全正确——必须在OAuth流程前期绑定用户的唯一标识，才能在后续拿到tokens时精准关联到对应用户。下面是具体的实现步骤：

1. 授权流程前期：通过state参数传递用户唯一标识 #

在生成Google授权URL时，将用户的唯一ID（比如数据库中的用户ID、会话ID）通过state参数传递。这个参数不仅能防止CSRF攻击，还能作为用户的关联标识：

// 假设已从会话/数据库获取到当前用户的唯一ID
const userId = 'user_12345';
// 可对ID进行简单编码避免明文泄露
const encodedUserId = Buffer.from(userId).toString('base64');

// 生成授权URL时传入state
const authUrl = oauth2Client.generateAuthUrl({
  access_type: 'offline', // 必须设置此参数才能获取refresh_token
  scope: ['https://www.googleapis.com/auth/gmail.readonly'], // 按需调整权限
  state: encodedUserId // 绑定用户标识
});

2. 回调阶段：解析标识并关联tokens存入数据库 #

用户授权后会跳转到你的回调路由，此时可以从req.query中拿到code和state，解析出用户ID后直接将tokens与用户关联：

app.get('/auth/google/callback', async (req, res) => {
  const { code, state } = req.query;
  // 解码state得到用户ID
  const userId = Buffer.from(state, 'base64').toString();

  try {
    // 用code交换tokens
    const { tokens } = await oauth2Client.getToken(code);
    oauth2Client.setCredentials(tokens);

    // 直接将tokens与用户ID关联存入数据库
    const updateFields = [];
    const values = [];

    if (tokens.refresh_token) {
      updateFields.push('refresh_token = ?');
      values.push(tokens.refresh_token);
    }
    updateFields.push('access_token = ?');
    values.push(tokens.access_token);
    updateFields.push('expires_at = ?');
    values.push(Date.now() + tokens.expiry_date * 1000);
    values.push(userId);

    await db.query(`UPDATE users SET ${updateFields.join(', ')} WHERE id = ?`, values);

    res.redirect('/dashboard');
  } catch (err) {
    console.error('获取令牌失败:', err);
    res.redirect('/login');
  }
});

3. 处理自动刷新触发的tokens事件 #

官方文档提到的tokens事件，主要是在OAuth客户端自动刷新access_token时触发（比如调用API时发现token过期）。此时要确保客户端实例与用户绑定：

// 处理API请求时，从数据库取出用户的tokens创建专属客户端
app.get('/api/gmail', async (req, res) => {
  const userId = req.session.userId;
  const [user] = await db.query('SELECT refresh_token, access_token FROM users WHERE id = ?', [userId]);

  // 创建当前用户专属的OAuth客户端
  const userOauthClient = new google.auth.OAuth2(CLIENT_ID, CLIENT_SECRET, REDIRECT_URI);
  userOauthClient.setCredentials({
    access_token: user.access_token,
    refresh_token: user.refresh_token
  });
  // 给客户端挂载用户ID，方便事件中关联
  userOauthClient.userId = userId;

  // 监听tokens事件，更新数据库中的tokens
  userOauthClient.on('tokens', (tokens) => {
    const updateValues = [];
    if (tokens.refresh_token) {
      updateValues.push(`refresh_token = '${tokens.refresh_token}'`);
    }
    updateValues.push(`access_token = '${tokens.access_token}'`);
    updateValues.push(`expires_at = ${Date.now() + tokens.expiry_date * 1000}`);

    db.query(`UPDATE users SET ${updateValues.join(', ')} WHERE id = '${userOauthClient.userId}'`);
  });

  // 调用Gmail API
  const gmail = google.gmail({ version: 'v1', auth: userOauthClient });
  const labels = await gmail.users.labels.list({ userId: 'me' });
  res.json(labels.data);
});

内容的提问来源于stack exchange，提问作者Chris