Google OAuth刷新令牌无法生成可访问Google API的有效访问令牌问题求助

我之前帮不少开发者解决过类似的问题，核心原因其实是Firebase用户对象的refreshToken和Google OAuth原生的刷新令牌不是同一个东西，这也是你刷新后token没有Google API权限的关键。

问题根源 #

当你通过firebase.signInWithGoogle()登录时，会拿到两个关键令牌：

• socialAuthUser.credential.accessToken：这是Google OAuth原生的access token，带有你请求的Calendar/Sheets权限范围，能直接调用Google API。
• socialAuthUser.user.refreshToken：这是Firebase专属的刷新令牌，只能用来刷新Firebase的ID Token和Firebase自己的access token，这些token只适用于Firebase服务，没有Google API的权限。

你用Firebase的securetoken.googleapis.com端点刷新，得到的自然是Firebase专属的token，无法访问Google API。

正确的解决方案 #

要刷新出能访问Google API的token，你需要：

1. 保存Google OAuth原生的refreshToken

在登录成功的回调里，你需要提取并保存credential里的refreshToken，而不是用户对象的：

firebase.signInWithGoogle()
  .then(async (socialAuthUser) => {
    // Google OAuth原生的access token和refresh token
    let googleAccessToken = socialAuthUser.credential.accessToken
    let googleRefreshToken = socialAuthUser.credential.refreshToken // 重点！存这个
    // Firebase自己的用户令牌（只用于Firebase服务）
    let firebaseRefreshToken = socialAuthUser.user.refreshToken

    this.setState({googleAccessToken, googleRefreshToken})
    // 建议把googleRefreshToken安全存储（比如后端数据库，前端要加密）
  })

2. 使用Google OAuth的刷新端点获取新token

不要用Firebase的刷新端点，而是调用Google官方的OAuth2刷新接口：https://oauth2.googleapis.com/token，发送POST请求，参数如下：

async function refreshGoogleAccessToken(refreshToken) {
  const response = await fetch('https://oauth2.googleapis.com/token', {
    method: 'POST',
    headers: {
      'Content-Type': 'application/x-www-form-urlencoded'
    },
    body: new URLSearchParams({
      grant_type: 'refresh_token',
      client_id: '你的Google OAuth客户端ID', // 和Firebase控制台里配置的一致
      refresh_token: refreshToken,
      client_secret: '你的Google OAuth客户端密钥' // Web应用需要，移动端可能不需要
    })
  })

  const data = await response.json()
  return data.access_token // 这个就是能访问Google API的新token
}

3. 验证新token的权限

刷新后可以调用https://www.googleapis.com/oauth2/v1/tokeninfo?access_token=新token，返回结果里的scope字段应该包含你请求的Calendar/Sheets权限，比如https://www.googleapis.com/auth/calendar https://www.googleapis.com/auth/spreadsheets。

额外注意事项 #

• 确保登录时请求了正确的权限范围：在初始化Google登录时，要指定需要的scope，比如：

  const provider = new firebase.auth.GoogleAuthProvider()
  provider.addScope('https://www.googleapis.com/auth/calendar')
  provider.addScope('https://www.googleapis.com/auth/spreadsheets')
  firebase.signInWithPopup(provider) // 用popup或redirect方式登录
  

• 安全存储refreshToken：Google的refreshToken有效期很长（除非用户 revoke权限），所以要确保存储安全，前端避免明文存储，最好存在后端数据库关联用户ID。
• 处理权限revoke情况：如果用户在Google账户里取消了你的应用权限，刷新token会失败，这时候需要引导用户重新登录授权。

内容的提问来源于stack exchange，提问作者Ignacio Nicolas Aguirre