如何在“使用Google登录”流程中获取新的Google ID Token？

针对你的场景，有两种可行的方案来实现无需用户手动点击登录按钮即可获取新的Google ID Token，进而刷新你的自定义JWT：

方案一：静默获取Google ID Token（基于Google Sign In一键登录） #

利用Google Sign In的静默授权能力，在自定义JWT即将过期时自动触发Token刷新，无需用户交互（前提是用户已登录Google且未撤销授权）。

前端实现步骤 #

1. 初始化时开启自动选择：在google.accounts.id.initialize中添加auto_select: true，允许SDK自动识别已登录的Google账号。
2. 调度Token刷新逻辑：在自定义JWT过期前（比如提前1分钟），调用google.accounts.id.prompt()触发静默授权，成功后会自动回调你设置的callback函数，拿到新的ID Token。
3. 更新自定义JWT：将新的ID Token传给后端验证，获取并存储新的自定义JWT，同时重新调度下一次刷新。

// 初始化Google Sign In
google.accounts.id.initialize({
  client_id: '你的客户端ID',
  callback: handleCredentialResponse,
  auto_select: true // 允许自动选择已登录账号
});

// 可选：渲染登录按钮（用于首次登录或静默失败时的手动触发）
google.accounts.id.renderButton(
  document.getElementById('g_id_signin'),
  { theme: 'outline', size: 'large' }
);

// 处理Google ID Token回调，刷新自定义JWT
function handleCredentialResponse(response) {
  const idToken = response.credential;
  // 发送到后端验证并获取新的自定义JWT
  fetch('/api/refresh-custom-jwt', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ id_token: idToken })
  })
  .then(res => res.json())
  .then(data => {
    localStorage.setItem('custom_jwt', data.custom_jwt);
    // 重新调度下一次刷新
    scheduleTokenRefresh();
  })
  .catch(err => console.error('刷新自定义JWT失败:', err));
}

// 调度自定义JWT的刷新时机
function scheduleTokenRefresh() {
  const customJwt = localStorage.getItem('custom_jwt');
  if (!customJwt) return;
  
  // 解析自定义JWT的过期时间
  const payload = JSON.parse(atob(customJwt.split('.')[1]));
  const expiresTimestamp = payload.exp * 1000;
  // 提前1分钟触发刷新
  const refreshDelay = expiresTimestamp - Date.now() - 60000;
  
  if (refreshDelay > 0) {
    setTimeout(() => {
      // 触发静默授权
      google.accounts.id.prompt(notification => {
        if (notification.isNotDisplayed() || notification.isSkippedMoment()) {
          // 静默刷新失败，提示用户重新登录
          console.log('静默刷新失败，请重新登录');
          // 这里可以显示登录按钮或提示信息
        }
      });
    }, refreshDelay);
  }
}

// 页面加载时启动调度
window.addEventListener('load', scheduleTokenRefresh);

后端实现 #

收到前端传来的新ID Token后，沿用你之前的client.verifyIdToken方法验证Token有效性，确认无误后生成新的15分钟有效期的自定义JWT返回给前端即可。

方案二：使用OAuth2授权码流程+Refresh Token #

如果希望完全由后端控制Token刷新，无需前端触发，可以切换到OAuth2授权码流程，获取Google的Refresh Token，后端用它定期换取新的ID Token。

核心步骤 #

1. 前端引导授权：使用Google OAuth2的授权码流程，引导用户授权，获取授权码（注意需要添加access_type=offline参数以获取Refresh Token）。
2. 后端换取Token：将授权码发送到Google的Token端点，获取Access Token、ID Token和Refresh Token，将Refresh Token与用户关联存储到数据库。
3. 后端自动刷新：当自定义JWT过期时，前端请求后端刷新，后端使用存储的Refresh Token向Google请求新的ID Token，验证后生成新的自定义JWT返回。

注意事项 #

• Google的Refresh Token长期未使用（超过6个月）会失效，需要用户重新授权。
• 需确保你的Google Cloud项目中已启用对应的OAuth2授权范围。

方案对比 #

内容的提问来源于stack exchange，提问作者Kyle Wahl