如何用Keycloak社交登录的Google令牌调用Java版Google API

核心问题定位 #

你当前获取的确实是Keycloak自身的访问令牌，而非Google颁发的、具备YouTube API权限的令牌。要解决这个问题，需要让Keycloak在社交登录流程中向Google请求所需的API权限，并将Google的令牌存储后传递给你的应用。

步骤1：配置Keycloak的Google身份提供商 #

在Keycloak控制台完成以下配置：

1. 进入你的Realm → Identity Providers → 添加Google提供商
2. 填写Google开发者控制台获取的Client ID和Client Secret
3. 在Scopes字段添加YouTube API所需的权限（例如：https://www.googleapis.com/auth/youtube.readonly、https://www.googleapis.com/auth/youtube，根据你的业务需求选择）
4. 开启Store Tokens选项，确保Keycloak会存储Google颁发的访问令牌和刷新令牌
5. 保存配置，确保Keycloak客户端的Valid Redirect URIs包含你的应用回调地址

步骤2：修改Spring应用的令牌获取逻辑 #

替换原来的getAccessToken()方法，从Keycloak的用户身份凭证中提取Google颁发的令牌：

private String getGoogleAccessToken() {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    
    if (!(authentication instanceof KeycloakAuthenticationToken)) {
        throw new YtUnauthorizedException("用户未通过Keycloak认证");
    }

    KeycloakAuthenticationToken keycloakToken = (KeycloakAuthenticationToken) authentication;
    KeycloakPrincipal<KeycloakSecurityContext> principal = 
        (KeycloakPrincipal<KeycloakSecurityContext>) keycloakToken.getPrincipal();
    
    // 从Keycloak的ID Token中提取Google的访问令牌
    Map<String, Object> idTokenClaims = principal.getKeycloakSecurityContext().getIdToken().getOtherClaims();
    String googleAccessToken = (String) idTokenClaims.get("identity_provider_access_token");
    
    if (googleAccessToken == null) {
        throw new YtUnauthorizedException("未获取到Google访问令牌，请检查Keycloak配置");
    }
    
    return googleAccessToken;
}

步骤3：重构Google API服务构建逻辑 #

使用提取到的Google令牌构建有效的Credential，替换原来的authorizationCodeFlow逻辑：

public YouTube getService() throws GeneralSecurityException, IOException {
    final NetHttpTransport httpTransport = GoogleNetHttpTransport.newTrustedTransport();
    
    // 构建Google API可用的Credential
    Credential credential = new GoogleCredential.Builder()
            .setTransport(httpTransport)
            .setJsonFactory(JSON_FACTORY)
            .build()
            .setAccessToken(getGoogleAccessToken());

    return new YouTube.Builder(httpTransport, JSON_FACTORY, credential)
            .setApplicationName(APPLICATION_NAME)
            .build();
}

额外注意事项 #

• 令牌过期处理：Google访问令牌默认有效期为1小时，若需要自动刷新，可从Keycloak的identity_provider_refresh_token字段提取Google刷新令牌，调用Google的令牌刷新接口更新
• 权限验证：确保Keycloak请求的Google权限范围与你调用YouTube API所需的权限完全匹配，否则会出现权限不足的错误

内容的提问来源于stack exchange，提问作者Oscar B