Google OAuth2Client.getToken()生产环境返回undefined，本地运行正常求助

本地运行代码时，authenticate()函数可正常获取refresh_token，但部署到生产环境后返回undefined。已确认生产环境回调能正常接收state和code，怀疑与Google OAuth授权屏验证有关，预生产仅1位用户，已提交验证申请。

核心代码片段 #

客户端初始化与认证逻辑：

const redirectUri = process.env.GOOG_REDIRECT_URI
constructor({clientId, secret}) {
    this.oAuth2Client = new google.auth.OAuth2(clientId, secret, redirectUri);
}

async authenticate(code) {
  const {
     res: {
         data: { access_token, refresh_token },
     },
  } = await this.oAuth2Client.getToken(code);
  this.accessToken = access_token
  this.refreshToken = refresh_token
  return refresh_token // 本地有值，生产环境为undefined
}

回调接收逻辑：

const processGoogleOAuthCallback = async (req, res) => {
   try {
    const { state, code } = req.query; // 本地和生产均能正常接收

    const googleClient = new GoogleClient({ clientId, secret })
    const refreshToken = await googleClient.authenticate(code) // 仅生产环境返回undefined
}

解决建议 #

• 确保授权请求包含offline_access相关参数
  获取refresh_token必须在授权URL中添加access_type=offline，首次授权或需要重新获取令牌时还要加上prompt=consent（强制用户重新授权，避免Google跳过返回refresh_token）。生产环境的授权链接可能遗漏了这些参数，导致无法拿到refresh_token。

• 核对生产环境的回调URI配置
  检查Google Cloud Console中OAuth客户端的「已授权的重定向URI」，确保和生产环境的GOOG_REDIRECT_URI完全一致——包括协议（http/https）、域名、路径，甚至末尾的斜杠都不能有差异。本地用http、生产用https的情况容易出现配置不一致。

• 打印完整令牌响应排查结构差异
  在生产环境中临时添加日志，打印getToken(code)返回的完整响应，不要直接解构取值：

  async authenticate(code) {
    const tokenResponse = await this.oAuth2Client.getToken(code);
    console.log('完整令牌响应:', tokenResponse); // 生产环境查看日志
    const { access_token, refresh_token } = tokenResponse.res.data;
    this.accessToken = access_token;
    this.refreshToken = refresh_token;
    return refresh_token;
  }
  

  排查是否响应结构与本地不同，或存在未被捕获的错误信息（比如网络代理修改了响应）。

• 确认测试用户配置
  虽然预生产仅1位用户，但未验证的OAuth应用仅允许「测试用户」获取完整权限。去Google Cloud Console的OAuth同意屏幕页面，检查「测试用户」列表是否包含生产环境的登录用户，若未添加则补上。

• 避免重复使用授权码
  Google的授权码（code）只能使用一次，若生产环境中因调试或日志重复调用authenticate(code)，第二次请求会失败且无法返回refresh_token。确保每个code仅被处理一次。

内容的提问来源于stack exchange，提问作者KasparTr