如何将App Engine预览URL添加至Google OAuth授权域名

目前Google OAuth已经不再支持通配符作为授权域名，不过有几个实用方案能帮你省去手动逐个添加动态预览URL的麻烦：

1. 绑定自定义测试子域名到预览版本 #

• 在Google Cloud Console的App Engine版本管理页面，给所有预览版本绑定一个固定的自定义子域名（比如preview.yourdomain.com），通过路径区分不同版本（如preview.yourdomain.com/v1、preview.yourdomain.com/v2）。
• 把这个自定义子域名添加到OAuth的授权域名和授权重定向URI列表中，后续所有预览版本都可以通过这个域名访问，无需重复添加。
• 注意：需要先完成自定义域名的DNS验证和App Engine域名映射配置。

2. 搭建OAuth代理服务 #

• 部署一个轻量的代理服务（比如用Cloud Run、Nginx或简单的Node/Python服务），将代理域名的请求转发到对应的App Engine预览版本。
• 仅需将代理的固定域名添加到OAuth授权列表，用户访问代理域名时，代理会转发请求到目标预览版本，OAuth验证仅针对代理域名生效。
• 示例Nginx反向代理配置：

  server {
      listen 80;
      server_name proxy.yourdomain.com;
  
      location / {
          proxy_pass https://[version-id]-dot-[project-id].appspot.com;
          proxy_set_header Host $host;
      }
  }
  

  可以通过CI/CD流程动态更新代理配置中的目标预览URL。

3. 自动化批量添加授权URI #

• 利用Google Cloud的OAuth2 API或gcloud命令行工具，在CI/CD部署流程中自动获取新预览版本的URL，并添加到OAuth客户端的授权重定向URI列表。
• 示例gcloud命令（需提前配置好对应权限）：

  # 获取最新预览版本的URL
  PREVIEW_URL=$(gcloud app versions describe [version-id] --format="value(service.url)")
  # 更新OAuth客户端的授权重定向URI
  gcloud auth application-default login
  gcloud alpha iap oauth-clients update [client-id] --add-redirect-uris="$PREVIEW_URL/auth/callback"
  

  每次部署新预览版本时，脚本会自动完成URI添加，无需手动操作。

内容的提问来源于stack exchange，提问作者Chukwuma Nwaugha