Azure Functions集成Google认证调用时遇401错误求助

核心问题：用错了Token类型 #

Azure Functions的Google认证（Easy Auth）需要验证的是Google ID Token，而你当前传递的是OAuth2 Access Token——后者是用来访问Google自家API的，无法被Azure的认证系统识别，这才是401的根本原因。

修正流程：直接用Google登录回调的ID Token #

你不需要额外调用getAccessToken，Google登录的handleCredentialResponse回调里已经返回了ID Token（response.credential字段），直接用它作为Bearer Token请求Azure Functions即可：

function handleCredentialResponse(response) {
  const idToken = response.credential;
  
  // 调用Azure Functions
  fetch('https://your-function-app.azurewebsites.net/api/your-function', {
    method: 'GET',
    headers: {
      'Authorization': `Bearer ${idToken}`
    },
    credentials: 'include'
  })
  .then(res => {
    if (!res.ok) throw new Error(`HTTP错误：${res.status}`);
    return res.json();
  })
  .then(data => console.log('请求成功：', data))
  .catch(err => console.error('请求失败：', err));
}

// 初始化Google登录
google.accounts.id.initialize({
  client_id: googleClientId,
  callback: handleCredentialResponse,
});

google.accounts.id.renderButton(
  button,
  { theme: 'outline', size: 'large' }
);

解决重复选择账户的问题 #

在初始化Google登录时，添加login_hint参数（传入用户已登录的邮箱，可从localStorage或会话中获取），或者调用prompt()触发静默登录，避免重复选账户：

// 假设已存储用户邮箱到localStorage
const savedEmail = localStorage.getItem('userEmail');

google.accounts.id.initialize({
  client_id: googleClientId,
  callback: handleCredentialResponse,
  login_hint: savedEmail // 提示用户使用已登录的账户
});

// 尝试静默登录（用户已授权过的话会自动完成）
google.accounts.id.prompt();

// 登录成功后存储邮箱
function handleCredentialResponse(response) {
  const idToken = response.credential;
  // 解码ID Token获取用户邮箱（可使用jwt-decode库）
  const decoded = jwt_decode(idToken);
  localStorage.setItem('userEmail', decoded.email);
  
  // 后续请求逻辑...
}

Azure配置检查要点 #

1. Easy Auth Google提供商配置：
   • 确保Client ID和Client Secret与Google控制台完全一致。
   • 勾选“允许ID令牌隐式流”（SPA场景必须开启）。
2. 认证规则：
   • 如果Function设为匿名，但仍返回401，说明Easy Auth已开启全局认证拦截。此时需确保ID Token的aud字段与Azure配置的Google Client ID匹配，且Token未过期（可前端解码验证）。
3. CORS设置：
   • 确认SWA域名在允许列表内，且“允许凭据”选项已勾选。

为什么之前的Access Token无效？ #

Google OAuth2 Access Token的受众（aud）是Google的API服务，而Azure需要的Token受众是你的Google Client ID（即ID Token的aud字段）。Azure的认证系统只会验证符合自身要求的ID Token，无法识别Google的Access Token。

内容的提问来源于stack exchange，提问作者Wouter