如何排查Google OAuth授权请求中embedded webview的来源？

We're writing to let you know that we detected the use of an embedded webview in requests to Google's OAuth 2.0 authorization endpoint in the past 120 days associated with one or more of your OAuth client IDs listed in this email.

一、排查嵌入式Webview的来源 #

1. 核查Firebase Auth登录逻辑 #

• 确认Firebase Auth Google登录的实现：默认Web端登录是跳转至Google授权页，若自定义流程（手动构造授权URL并嵌入iframe/自定义组件）会触发检测。
• 检查Next.js代码：确认仅使用signInWithPopup或signInWithRedirect调用Google登录，排查页面组件、API路由中是否存在嵌入iframe/webview标签的逻辑。
• 验证Firebase初始化配置：确保未通过signInWithCredential配合自定义授权流，避免触发嵌入行为。

2. 分析请求日志数据 #

• 查看Google Cloud Console的OAuth授权日志：筛选120天内的请求，检查user-agent字段，Webview的UA通常包含WebView、Android WebView、非标准iOS WebKit标识，区分正常浏览器与Webview请求。
• 对比站点访问日志：定位触发检测的请求IP、用户地域，排查是否存在特定设备/用户群体发起请求，或第三方非法复用客户端ID。

3. 排查第三方依赖与凭证泄露 #

• 检查站点集成的第三方工具（分析插件、广告SDK等）：确认是否存在未经授权修改登录流程、嵌入授权页的逻辑。
• 验证OAuth客户端ID安全性：排查公开代码库、配置文件是否意外泄露ID，导致第三方恶意嵌入Webview使用。

二、评估安全隐患 #

1. 复核iframe劫持风险 #

• 检查站点安全头配置：确认已设置X-Frame-Options或Content-Security-Policy (CSP)，禁止Google授权页被第三方嵌入，同时自身站点也不允许非法嵌入授权流程。
• 验证Firebase安全规则：确认仅你的域名被添加到OAuth授权重定向URI和Firebase授权域列表，避免第三方利用客户端ID钓鱼。

2. 合规性与账号风险 #

• 持续违规使用Webview嵌入授权流程，可能导致OAuth客户端ID被限制或封禁，影响用户正常登录。
• Webview环境下的授权流程易被注入恶意脚本，存在用户凭证被盗的风险。

三、验证与修复 #

• 修复后，监控Google Cloud Console的授权日志，确认无Webview类型请求。
• 测试多设备、多浏览器的登录流程，确保正常用户均使用标准跳转/弹窗方式登录。

内容的提问来源于stack exchange，提问作者Kevin Danikowski