如何引导用户跳转至Google授权同意界面以获取新增OAuth scopes？

1. 更新OAuth应用的权限范围配置 #

• 登录Google Cloud控制台，找到你的OAuth 2.0客户端ID
• 编辑授权范围，添加新增功能所需的所有权限（比如Gmail的https://www.googleapis.com/auth/gmail.send或Drive的https://www.googleapis.com/auth/drive.file）
• 若你的应用是组织级应用，需先让Google Workspace管理员将新增权限加入已批准应用的权限列表，否则普通用户无法完成授权

2. 在应用内检测用户已授权的权限 #

• 用户登录时，调用Google OAuth的令牌信息端点（https://www.googleapis.com/oauth2/v3/tokeninfo），传入用户的access token
• 解析返回的scope字段，对比当前应用需要的完整权限列表
• 发现缺少新增权限时，触发重定向授权流程

3. 构造授权链接并引导用户跳转 #

• 采用OAuth 2.0授权码流程构造授权URL，核心参数包括：
  • client_id：你的OAuth客户端ID
  • redirect_uri：已在Google Cloud控制台配置的回调地址
  • response_type：固定为code
  • scope：原有权限+新增权限的完整列表（用空格分隔）
  • access_type：设为offline以获取刷新令牌（可选，用于长期保持授权）
  • prompt：设为consent，强制弹出授权同意界面（即使用户之前授权过）
• 示例URL结构：

  https://accounts.google.com/o/oauth2/v2/auth?client_id=YOUR_CLIENT_ID&redirect_uri=YOUR_REDIRECT_URI&response_type=code&scope=OPENID%20EMAIL%20https://www.googleapis.com/auth/gmail.readonly%20https://www.googleapis.com/auth/gmail.send&access_type=offline&prompt=consent
  

• 将用户重定向到该URL，用户就能看到包含新增权限的同意界面，确认后会自动跳转到你的回调地址

4. 处理授权回调并更新用户权限 #

• 在回调地址接收Google返回的授权code
• 用该code调用令牌端点（https://oauth2.googleapis.com/token），交换包含新增权限的access token和refresh token
• 更新应用内存储的用户令牌信息，之后即可使用新增权限调用Google API

注意事项 #

• 若你的应用是Google Workspace Marketplace应用，需同步更新Marketplace配置的权限范围，必要时提交审核
• 组织管理员可设置强制批准新增权限，此时用户授权时不会看到同意界面，但仍需确保应用已在组织内获批
• 测试时用组织内普通用户账号验证流程，避免使用管理员账号（管理员默认拥有更高权限，可能无法复现普通用户的授权场景）

内容的提问来源于stack exchange，提问作者Vasyl