Alexa账号关联频繁过期求助：基于Google OAuth配置排查

问题成因 #

• 谷歌Refresh Token自动失效：即使请求了access_type=offline，谷歌的refresh token仍会因多种场景失效，包括用户修改谷歌账号密码、令牌超过6个月未被使用、用户主动撤销技能的授权权限、同一用户同一客户端生成的refresh token数量超过50个（谷歌默认限制）。
• Alexa令牌过期时间配置错误：你设置的默认访问令牌过期时间为31536000秒（1年），但谷歌access token实际仅有效1小时（3600秒）。Alexa会依据配置的过期时间判断令牌有效性，当实际token已过期但Alexa仍认为有效时，用过期token请求谷歌API会失败，最终触发账号重新关联提示。
• 后端未实现正确的令牌刷新逻辑：虽然获取到了refresh token，但技能后端未在access token过期时自动调用谷歌令牌端点刷新，或刷新过程中存在参数错误、权限不足等问题，导致后续API请求失败，Alexa检测到多次失败后标记关联失效。

解决方法 #

• 修正Alexa技能的令牌过期时间配置：将默认访问令牌过期时间改为3600秒，匹配谷歌access token的实际有效期，让Alexa能正确识别令牌过期状态，触发刷新流程。
• 完善后端的refresh token刷新机制：
  • 持久化存储用户的refresh token、access token及对应过期时间
  • 每次调用谷歌API前检查access token是否过期，若过期则向https://accounts.google.com/o/oauth2/token发送请求，携带grant_type=refresh_token、client_id、client_secret、refresh_token参数，获取新的access token（部分场景下谷歌会返回新的refresh token，需同步更新存储）
  • 处理刷新失败场景：若refresh token已失效，返回Alexa规定的INVALID_AUTHORIZATION_CREDENTIAL错误响应，引导用户重新完成账号关联
• 管控refresh token的生命周期：
  • 用户重新授权时，用新获取的refresh token替换旧的，避免因生成过多令牌导致旧token失效
  • 在技能说明中提示用户，若修改谷歌密码或撤销授权，需重新关联账号
• 验证授权权限范围：确认OAuth授权时请求的scope包含所需的谷歌API权限，且用户未主动撤销该权限，权限不足会导致API请求失败，进而引发关联失效

内容的提问来源于stack exchange，提问作者Amorphous