基于DRF+Vue的OAuth认证与G Suite集成身份同步问题

方案一：绑定存储Google令牌，后端按需提供 #

• 后端处理convert-token请求时，除了生成内部令牌，把用户的Google访问令牌、刷新令牌和过期时间一起存到数据库，和对应内部账号绑定。
• 前端要嵌入Google资源时，先调用后端接口（用内部令牌认证），获取当前用户绑定的有效Google令牌（后端自动用刷新令牌更新过期的访问令牌）。
• 构造Google资源的嵌入URL时带上该令牌，比如https://docs.google.com/document/d/{docId}/view?access_token={google_token}，这样嵌入的资源就会用和应用账号绑定的Google身份加载，不会出现身份不匹配。

方案二：前端双令牌持有，后端校验一致性 #

• 前端登录后，同时保留后端返回的内部令牌和Google登录得到的令牌/用户标识（比如邮箱、sub字段）。
• 嵌入Google资源时直接用本地的Google令牌构造链接，确保身份一致；每次请求后端时，除了内部令牌，额外带上Google用户标识。
• 后端新增校验逻辑：收到请求后，验证内部令牌对应的账号，其绑定的Google标识和前端传入的是否一致，不一致就拒绝请求，提示用户重新登录，防止用户切换Google账号后继续用旧内部令牌操作。

方案三：后端接管Google OAuth流程，生成安全嵌入链接 #

• 把现有认证流程改成Google OAuth授权码模式：前端跳转到Google授权页拿到授权码，传给后端；后端用授权码向Google请求令牌，同时完成内部账号的创建/关联，只给前端返回内部令牌。
• 当需要嵌入Google资源时，前端用内部令牌请求后端，后端调用Google API生成带临时权限的嵌入URL（比如用Google Drive API的文件嵌入接口，带上后端持有的用户令牌），前端直接嵌入这个URL即可。
• 这个方案完全由后端控制身份绑定，前端接触不到Google令牌，既避免了多账号冲突，也提升了令牌安全性。

内容的提问来源于stack exchange，提问作者Samuele B.