如何用免费Google OAuth保护私有网站并限制特定用户登录？

核心思路 #

Google OAuth默认允许所有Google账号完成登录流程，要实现仅授权用户访问，核心是在OAuth登录完成后，校验用户的身份信息是否在你预先设定的白名单内——这个逻辑可直接在你的Web应用代码里实现，完全免费。

具体实现步骤 #

1. 完成基础Google OAuth配置 #

先在Google Cloud Console创建OAuth客户端ID，配置好应用的回调地址，这是标准流程，按官方指引操作即可。

2. 登录后添加白名单校验逻辑 #

用户通过Google OAuth登录后，你的应用会获取到用户的核心身份信息（比如email邮箱、sub用户唯一ID），此时在代码中加入校验：

• 提前维护一个授权用户列表（比如ALLOWED_USERS = ["your-email@gmail.com", "trusted-person@example.com"]）
• 拿到用户信息后，检查其邮箱/用户ID是否在列表内：
  • 若在列表中，允许进入应用；
  • 若不在，直接返回403禁止访问，或跳转至无权限提示页面。

示例代码片段（Python Flask框架） #

from flask import Flask, redirect, session, abort, url_for
from authlib.integrations.flask_client import OAuth

app = Flask(__name__)
app.secret_key = "your-app-secret-key"

# 初始化Google OAuth
oauth = OAuth(app)
google = oauth.register(
    name='google',
    client_id='your-google-client-id',
    client_secret='your-google-client-secret',
    api_base_url='https://www.googleapis.com/oauth2/v1/',
    userinfo_endpoint='https://openidconnect.googleapis.com/v1/userinfo',
    client_kwargs={'scope': 'openid email profile'},
)

# 授权用户白名单（可存环境变量或私有配置文件）
ALLOWED_EMAILS = ["your-own-email@gmail.com", "family-member@example.com"]

@app.route('/login')
def login():
    redirect_uri = url_for('authorize', _external=True)
    return google.authorize_redirect(redirect_uri)

@app.route('/authorize')
def authorize():
    token = google.authorize_access_token()
    user_info = google.get('userinfo').json()
    
    # 校验邮箱是否在白名单
    if user_info['email'] not in ALLOWED_EMAILS:
        abort(403)
    
    session['user'] = user_info
    return redirect('/control-panel')

@app.route('/control-panel')
def control_panel():
    if 'user' not in session:
        return redirect('/login')
    return f"欢迎，{session['user']['name']}！这里是报警器控制页面"

3. 安全优化建议 #

• 不要将白名单硬编码在代码中，可存入环境变量或加密的私有配置文件，避免泄露到代码仓库；
• 强制校验用户邮箱的验证状态（Google OAuth返回的email_verified字段），防止未验证邮箱的账号登录；
• 优先用sub（Google用户唯一永久ID）代替邮箱做校验，避免因用户更换邮箱导致权限失效。

无需改代码的免费替代方案 #

如果不想自己开发校验逻辑，可借助以下免费工具：

• Cloudflare Access：将应用接入Cloudflare反向代理，通过Cloudflare Access配置Google OAuth，并直接设置允许访问的邮箱列表，无需修改应用代码；
• Auth0免费版：免费版支持7000月活用户，配置Google作为身份提供者后，在Auth0的规则中添加白名单过滤逻辑，拦截非授权用户。

内容的提问来源于stack exchange，提问作者Ageis