Go项目集成Google Calendar API登录遇400:invalid_request错误求解

我正在为安卓应用的Go后端集成Google Calendar API，已经在Google Console创建凭证并完成OAuth同意屏幕配置。参考旧教程实现事件创建功能时，登录触发以下错误：

Error 400: invalid_request
The loopback flow has been blocked in order to keep users secure. Follow the Loopback IP Address flow migration guide linked in the developer docs below to migrate your app to an alternative method.

我的重定向URI配置为：

RedirectURL: "http://127.0.0.1:8000/GoogleCallback",

授权相关代码如下：

package main

import (
"fmt"
"net/http"

"golang.org/x/net/context"
"golang.org/x/oauth2"
"golang.org/x/oauth2/google"
"google.golang.org/api/calendar/v3"
)

var (
googleOauthConfig = &oauth2.Config{
    RedirectURL: "http://127.0.0.1:8000/GoogleCallback",
    ClientID:    "my_client_id", // 来自Google Console凭证页
    // ClientSecret: os.Getenv("googlesecret"), // 来自Google Console凭证页
    Scopes:   []string{calendar.CalendarScope},
    Endpoint: google.Endpoint,
}
oauthStateString = "random"
)

const htmlIndex = `<html><body>
<a href="/GoogleLogin">Log in with Google</a>
</body></html>`

func main() {
http.HandleFunc("/", handleMain)
http.HandleFunc("/GoogleLogin", handleGoogleLogin)
http.HandleFunc("/GoogleCallback", handleGoogleCallback)
fmt.Println(http.ListenAndServe(":8000", nil))
}
func handleMain(w http.ResponseWriter, r *http.Request) {
fmt.Fprintf(w, htmlIndex)
}

func handleGoogleLogin(w http.ResponseWriter, r *http.Request) {
url := googleOauthConfig.AuthCodeURL(oauthStateString)
http.Redirect(w, r, url, http.StatusTemporaryRedirect)
}

func handleGoogleCallback(w http.ResponseWriter, r *http.Request) {
state := r.FormValue("state")
if state != oauthStateString {
    fmt.Printf("invalid oauth state, expected '%s', got '%s'\n", oauthStateString, state)
    http.Redirect(w, r, "/", http.StatusTemporaryRedirect)
    return
}

code := r.FormValue("code")
token, err := googleOauthConfig.Exchange(oauth2.NoContext, code)
if err != nil {
    fmt.Printf("oauthConf.Exchange() failed with '%s'\n", err)
    http.Redirect(w, r, "/", http.StatusTemporaryRedirect)
    return
}

oauth2.NewClient(context.Background(), oauth2.StaticTokenSource(token))
}

请问该错误的原因是什么？如何解决？

错误原因 #

Google已停用传统的Loopback IP回环流（即使用http://127.0.0.1或localhost作为重定向URI的OAuth流程），原因是该流程存在安全风险，易被恶意应用利用进行钓鱼攻击。你的代码和配置使用的正是这种废弃的回环流，因此触发400错误。

另外，你的场景是安卓应用+Go后端，传统Web应用OAuth流程并不适配移动应用场景，Google要求移动应用使用专门的安全授权流程。

解决方法 #

1. 切换到官方推荐的PKCE授权码流（生产环境适用） #

针对安卓应用+后端的场景，PKCE（Proof Key for Code Exchange）是Google官方推荐的安全流程，无需依赖回环地址。

步骤1：配置正确的凭证类型

• 进入Google Console，打开项目的「API和服务」→「凭证」页面
• 删除现有Web应用类型凭证，创建Android类型凭证
• 填写安卓应用的包名和SHA-1指纹（可通过keytool -list -v -keystore <你的签名文件路径>命令获取）

步骤2：修改Go后端代码适配PKCE流程

PKCE需要生成随机的code_verifier和code_challenge，替代原有的简单授权流程：

package main

import (
    "crypto/rand"
    "crypto/sha256"
    "encoding/base64"
    "fmt"
    "net/http"

    "golang.org/x/net/context"
    "golang.org/x/oauth2"
    "golang.org/x/oauth2/google"
    "google.golang.org/api/calendar/v3"
)

var (
    googleOauthConfig = &oauth2.Config{
        ClientID: "your_android_client_id", // 替换为Android凭证的ClientID
        Scopes:   []string{calendar.CalendarScope},
        Endpoint: google.Endpoint,
        // Android凭证无需配置RedirectURL和ClientSecret
    }
)

// 生成PKCE所需的code_verifier和code_challenge
func generatePKCE() (string, string, error) {
    // 生成随机code_verifier
    verifierBytes := make([]byte, 32)
    _, err := rand.Read(verifierBytes)
    if err != nil {
        return "", "", err
    }
    codeVerifier := base64.RawURLEncoding.EncodeToString(verifierBytes)

    // 基于SHA256生成code_challenge
    hash := sha256.Sum256([]byte(codeVerifier))
    codeChallenge := base64.RawURLEncoding.EncodeToString(hash[:])

    return codeVerifier, codeChallenge, nil
}

func handleGoogleLogin(w http.ResponseWriter, r *http.Request) {
    codeVerifier, codeChallenge, err := generatePKCE()
    if err != nil {
        http.Error(w, "生成PKCE参数失败", http.StatusInternalServerError)
        return
    }

    // 将code_verifier存入Cookie，回调时需使用
    http.SetCookie(w, &http.Cookie{
        Name:     "code_verifier",
        Value:    codeVerifier,
        Path:     "/",
        Secure:   true,  // 生产环境启用HTTPS时开启
        HttpOnly: true, // 防止前端JS读取，提升安全性
    })

    // 构建带PKCE参数的授权URL
    authURL := googleOauthConfig.AuthCodeURL("",
        oauth2.SetAuthURLParam("code_challenge", codeChallenge),
        oauth2.SetAuthURLParam("code_challenge_method", "S256"),
    )
    http.Redirect(w, r, authURL, http.StatusTemporaryRedirect)
}

func handleGoogleCallback(w http.ResponseWriter, r *http.Request) {
    // 从Cookie获取code_verifier
    cookie, err := r.Cookie("code_verifier")
    if err != nil {
        http.Error(w, "缺少code_verifier参数", http.StatusBadRequest)
        return
    }
    codeVerifier := cookie.Value

    code := r.FormValue("code")
    // 传入code_verifier交换令牌
    token, err := googleOauthConfig.Exchange(context.Background(), code,
        oauth2.SetAuthURLParam("code_verifier", codeVerifier),
    )
    if err != nil {
        fmt.Printf("令牌交换失败: %s\n", err)
        http.Redirect(w, r, "/", http.StatusTemporaryRedirect)
        return
    }

    // 创建Calendar API客户端并调用接口
    client := oauth2.NewClient(context.Background(), oauth2.StaticTokenSource(token))
    calendarService, err := calendar.New(client)
    if err != nil {
        fmt.Printf("创建Calendar服务失败: %v\n", err)
        return
    }

    // 示例：创建一个测试事件
    event := &calendar.Event{
        Summary:     "测试事件",
        Location:    "办公室",
        Description: "通过API创建的测试事件",
        Start: &calendar.EventDateTime{
            DateTime: "2024-10-01T10:00:00+08:00",
            TimeZone: "Asia/Shanghai",
        },
        End: &calendar.EventDateTime{
            DateTime: "2024-10-01T11:00:00+08:00",
            TimeZone: "Asia/Shanghai",
        },
    }

    createdEvent, err := calendarService.Events.Insert("primary", event).Do()
    if err != nil {
        fmt.Printf("创建事件失败: %v\n", err)
        http.Error(w, "创建事件失败", http.StatusInternalServerError)
        return
    }

    fmt.Fprintf(w, "事件创建成功：<a href=\"%s\">查看详情</a>", createdEvent.HtmlLink)
}

func handleMain(w http.ResponseWriter, r *http.Request) {
    fmt.Fprintf(w, `<html><body><a href="/GoogleLogin">使用Google登录</a></body></html>`)
}

func main() {
    http.HandleFunc("/", handleMain)
    http.HandleFunc("/GoogleLogin", handleGoogleLogin)
    http.HandleFunc("/GoogleCallback", handleGoogleCallback)
    fmt.Println("服务启动在 :8000")
    fmt.Println(http.ListenAndServe(":8000", nil))
}

2. 临时测试方案（不推荐生产环境） #

如果仅用于本地测试，可通过以下方式临时启用回环流：

• 进入Google Console的OAuth同意屏幕页面，添加测试用户（必须添加，否则无法使用）
• 回到凭证页面，创建桌面应用类型凭证（而非Web应用），该类型默认允许回环地址作为重定向URI
• 代码中保持原有的回环URI配置即可

注意：此方案仅适用于测试场景，生产环境必须使用PKCE流程。

内容的提问来源于stack exchange，提问作者Venukishore.R