Google登录：无需调用谷歌服务时是否仍需存储并刷新令牌？

核心结论 #

即便当前无需调用谷歌服务，存储并定期校验谷歌的Access/Refresh Token属于OAuth2登录场景下的最佳实践，原因如下：

1. 保障授权生命周期的一致性 #

用户在谷歌账户中撤销对你方应用的授权后，你的系统必须同步失效用户的会话——这是OAuth2协议的核心要求之一，也是保障用户账户控制权的基本准则。如果不校验谷歌令牌的状态，会出现用户已取消授权但仍能正常访问你方系统的安全漏洞。

2. 为未来功能扩展预留空间 #

你提到未来可能集成谷歌服务，提前存储并维护谷歌令牌可以避免后续重构登录流程，大幅降低功能扩展的迁移成本，无需重新引导用户完成授权流程。

对你方方案的优化建议 #

你计划在自有Refresh Token刷新时同步校验谷歌令牌的思路是合理的，但需要补充以下细节：

令牌存储规范 #

• 谷歌的Refresh Token切勿明文存储，需与你方自有Refresh Token一样，加密后存入数据库，防止泄露后被第三方滥用谷歌账户权限。
• 记录谷歌Access Token的过期时间，在令牌接近过期时主动触发刷新操作，而非仅依赖自有Refresh Token的刷新时机，减少因谷歌令牌过期导致的校验失败概率。

校验逻辑细节 #

• 校验谷歌令牌有效性时，需调用谷歌的tokeninfo接口验证令牌的授权状态（而非仅检查过期时间）——用户可能提前撤销授权，此时令牌即使未过期也会失效。
• 当谷歌令牌校验失败（包括授权被撤销、令牌过期、刷新失败等情况），除了失效你方自有Refresh Token，还需强制客户端引导用户重新登录，避免用户处于无感知的未授权状态。

异常处理机制 #

谷歌的Refresh Token可能因长期未使用、谷歌安全策略更新等原因被吊销，因此在刷新谷歌令牌时需处理刷新失败的场景，此时同样需要触发用户重新登录流程，确保会话的合法性。

额外合规性考虑 #

部分地区的隐私法规要求系统必须尊重用户的授权撤销操作，同步失效用户会话是满足合规要求的必要条件，避免潜在的合规风险。

内容的提问来源于stack exchange，提问作者Unknown X