Google API授权范围异常：首次授权未添加Drive权限，二次授权正常

核心原因 #

这是Google OAuth 2.0的权限范围缓存机制导致的：若用户此前已授权过你的应用（哪怕是更小的权限范围），Google会默认复用现有授权会话，即便你新增了权限范围，首次请求也不会强制用户重新确认权限，最终导致新权限未附加到凭据上。只有当用户完全移除应用授权后，新的权限请求才会触发完整的权限确认流程。

针对性解决方案 #

1. 强化prompt参数的强制生效 #

你的代码已设置prompt，但需确保Socialite正确将参数传递到Google授权请求中。可抓包跳转URL，确认prompt=consent%20select_account是否存在。若参数丢失，尝试手动构建授权URL：

$driver = Socialite::driver('google')
    ->scopes(['https://www.googleapis.com/auth/drive'])
    ->with([
        'state' => "sso.redirect.uri=" . $request->input('redirect_uri'). "&type=documents",
        "access_type" => "offline",
        "prompt" => "consent" // 单独使用consent，确保强制弹出权限确认框
    ]);

// 手动生成跳转URL，规避Socialite可能的参数遗漏
$authUrl = $driver->stateless()->redirect()->getTargetUrl();
return redirect($authUrl);

2. 添加include_granted_scopes参数 #

该参数会让Google自动合并已有权限与新请求权限，避免会话缓存导致的权限遗漏：

return Socialite::driver('google')
    ->scopes(['https://www.googleapis.com/auth/drive'])
    ->with([
        'state' => "sso.redirect.uri=" . $request->input('redirect_uri'). "&type=documents",
        "access_type" => "offline",
        "prompt" => "consent select_account",
        "include_granted_scopes" => "true" // 新增参数，合并新旧权限
    ])->redirect();

3. 清理本地授权会话缓存 #

若用户在系统中已有登录会话，可能存在旧授权信息缓存。触发授权前，清理相关Socialite会话数据：

// 清理Socialite临时会话数据
session()->forget('socialite.google');

// 执行授权跳转
return Socialite::driver('google')
    ->scopes(['https://www.googleapis.com/auth/drive'])
    ->with([
        'state' => "sso.redirect.uri=" . $request->input('redirect_uri'). "&type=documents",
        "access_type" => "offline",
        "prompt" => "consent select_account"
    ])->redirect();

4. 回调环节校验权限范围 #

在授权回调逻辑中，主动校验返回的权限是否包含目标范围，若不足则引导用户重新授权：

$user = Socialite::driver('google')->user();
$grantedScopes = explode(' ', $user->tokenResponseBody['scope']);

if (!in_array('https://www.googleapis.com/auth/drive', $grantedScopes)) {
    // 权限不足，重新引导授权流程
    return redirect()->route('your.auth.route')->with('error', '请授予Google Drive访问权限');
}

内容的提问来源于stack exchange，提问作者Flinty926