如何通过OAuth 2.0持续刷新access_token，保持用户永久登录？

核心思路 #

你已经存储了refresh_token、access_token和过期时间，完全可以在服务端自主实现令牌刷新逻辑——Google OAuth体系本身就支持用refresh_token主动请求新的access_token，不需要依赖Google主动推送，只要refresh_token未被吊销，就能无限期刷新。

具体实现步骤 #

• 触发刷新时机：要么用服务端调度工具（比如Node.js的node-schedule）定期扫描数据库，在access_token过期前5分钟左右触发刷新；要么在用户每次发起Google Drive操作前，先校验令牌有效期，过期则实时刷新。
• 调用Google刷新接口：向https://oauth2.googleapis.com/token发送POST请求，参数包含你的client_id、client_secret、用户的refresh_token，以及固定值grant_type=refresh_token。
• 更新数据库记录：刷新成功后，把新返回的access_token、计算好的新过期时间（当前时间加上返回的expires_in秒数）更新到用户对应的数据库条目里。
• 处理失败场景：如果请求返回错误（比如refresh_token被用户手动撤销或因安全原因被Google吊销），直接提示用户重新授权登录即可。

代码示例（Node.js服务端） #

const axios = require('axios');

// 刷新Google access_token的函数
async function refreshGoogleAccessToken(refreshToken, clientId, clientSecret) {
  try {
    const response = await axios.post('https://oauth2.googleapis.com/token', new URLSearchParams({
      client_id: clientId,
      client_secret: clientSecret,
      refresh_token: refreshToken,
      grant_type: 'refresh_token'
    }), {
      headers: {
        'Content-Type': 'application/x-www-form-urlencoded'
      }
    });

    // 计算新的过期时间
    const expirationDate = new Date(Date.now() + response.data.expires_in * 1000);

    return {
      accessToken: response.data.access_token,
      expirationDate
    };
  } catch (error) {
    console.error('Google令牌刷新失败:', error.response?.data || error.message);
    throw new Error('令牌失效，请重新登录');
  }
}

关键注意事项 #

• 必须请求offline权限：用户首次授权时，你的OAuth请求必须包含access_type=offline参数，才能获取到长期有效的refresh_token。如果之前没加这个参数，需要让用户重新授权一次。
• refresh_token仅限服务端存储：绝对不能把refresh_token传到前端，避免敏感信息泄露。所有刷新逻辑都在服务端完成，前端只需要从服务端获取可用的access_token。
• 按需刷新更高效：如果用户使用频率较低，定时批量刷新会浪费资源，不如在用户发起Drive操作前实时校验令牌状态，过期就立即刷新，这样更节省服务器资源。

内容的提问来源于stack exchange，提问作者Renee