如何在Google APIs中始终持有有效令牌？谷歌日历应用技术问询

1. 令牌有效保持策略：优先选择「用户使用时再刷新」 #

• 不推荐定时cron刷新：access token有效期通常为1小时，若用户长期不活跃，定时刷新纯粹浪费服务器资源，完全没必要。
• 最优方案：每次调用Google Calendar API前，通过google.auth.OAuth2的isTokenExpired()方法检查当前access token是否过期。如果过期，立即用存储的refresh token请求新的access token，更新本地存储的令牌后再执行API调用。这种方式只在用户实际使用时触发刷新，资源利用率最高，也能保证用户操作时令牌始终有效。

2. Refresh Token过期的处理方案 #

Google的refresh token并非永久有效，触发失效的常见场景包括：用户主动撤销应用权限、用户修改Google账户密码、应用的OAuth权限范围变更、同一用户多次授权导致旧refresh token被挤掉（Google限制单用户单应用的有效refresh token数量，超出后最早的会失效）。

• 错误识别：当调用refreshAccessToken()时收到invalid_grant错误，即可判定refresh token已失效。
• 解决方式：此时只能引导用户重新完成OAuth2授权流程，重新获取新的access token和refresh token，同时更新存储中的旧令牌。
• 预防建议：尽量保持应用的OAuth权限范围稳定，不要随意变更；用户每次完成授权后，及时用新的refresh token覆盖旧的存储记录，避免因多授权导致旧令牌失效。

内容的提问来源于stack exchange，提问作者MisterCat