已验证Google应用登录出现403 access_denied错误求助

问题现象 #

• 首次登录：弹出授权界面，未勾选任何权限点击继续，后端成功接收code并生成令牌，流程正常；
• 再次登录：弹出新授权界面，点击继续出现确认弹窗，后端无法接收code，返回error=access_denied。

核心原因 #

1. 首次登录时用户未授权任何权限，Google OAuth系统会记录该用户对应用的权限拒绝状态；
2. 代码中设置的include_granted_scopes: true参数，会让Google尝试合并用户已授予的权限，但用户实际无任何已授权权限，加上之前的拒绝记录，触发了异常的确认逻辑，最终导致授权失败；
3. 未强制触发重新授权流程，OAuth系统复用了之前的拒绝状态，无法正常发起新的授权请求。

解决方案 #

1. 调整OAuth授权参数 #

• 移除include_granted_scopes: true：在用户无任何已授权权限的场景下，该参数无实际作用，反而会干扰授权逻辑；
• 添加prompt: "consent"：强制每次登录都让用户重新确认权限，覆盖之前的拒绝状态，确保授权流程能正常获取code。

2. 清理本地无效令牌 #

退出登录时，务必清理后端存储的用户令牌（包括access_token和refresh_token），避免第二次登录时尝试使用无权限的旧令牌导致异常。

修改后的代码示例 #

app.get("/endpoint/login", (req, res) => {
  const scopes = [
    "https://www.googleapis.com/auth/youtube.force-ssl",
    "https://www.googleapis.com/auth/youtubepartner",
    "https://www.googleapis.com/auth/userinfo.profile",
    "https://www.googleapis.com/auth/userinfo.email",
  ];
  const authUrl = oauth2Client.generateAuthUrl({
    access_type: "offline",
    scope: scopes,
    prompt: "consent", // 强制重新授权，覆盖旧的拒绝状态
  });
  res.status(200).json({ authUrl });
});

额外验证点 #

• 确认Google Cloud控制台中，应用已正确配置这些scope的访问权限（因应用已验证，此步骤大概率没问题，但可排查）；
• 测试时使用无痕浏览器，避免浏览器缓存的OAuth会话状态干扰测试结果。

内容的提问来源于stack exchange，提问作者Exorcismus