Google OAuth2移动端认证时拒绝Client ID的原因排查

核心问题根源 #

1. 授权码与客户端类型绑定限制 #

Google OAuth的授权码与生成它的客户端类型强绑定：移动端（Android/iOS）生成的授权码，只能用对应平台的客户端凭据（而非Web端凭据）兑换令牌。Cross Client Identity机制仅支持令牌的跨客户端复用（比如用Web端令牌获取用户信息时允许其他客户端ID），但授权码兑换环节不支持跨客户端类型混用。

你当前的流程是React Native（Android）生成授权码后，用Web端的client_id和client_secret发起兑换请求，这直接触发了unauthorized_client错误。

2. Android凭据SHA-1配置不匹配 #

若React Native基于Android平台，Google要求Android客户端必须配置正确的签名证书SHA-1。即使客户端能成功获取授权码，若SHA-1与Google Cloud控制台中Android OAuth凭据的配置不一致，兑换令牌时仍会返回权限错误。

验证方法：

keytool -list -v -keystore 你的签名文件路径 -alias 证书别名

将输出的SHA-1值与Google Cloud控制台中Android客户端ID的配置项对比，确保完全一致。

3. 授权码重定向URI不匹配 #

移动端获取授权码时使用的重定向URI，必须与Google Cloud控制台中Android凭据配置的重定向URI完全一致。React Native中常用的格式类似com.googleusercontent.apps.xxxxxx:/oauth2redirect/google，若两者不匹配，授权码会被标记为无效，兑换时触发权限错误。

4. 客户端权限范围或配置限制 #

• 检查Web端凭据是否开启跨客户端身份验证：虽然同项目默认支持，但需确保Web客户端未设置仅接收特定客户端生成的授权码。
• 确认移动端请求授权时的scope与API兑换令牌时的scope完全一致，范围不匹配也可能导致权限错误。

修复方案 #

• 拆分API的令牌兑换逻辑：根据请求来源（前端/移动端）选择对应的客户端凭据，移动端授权码用Android的client_id和client_secret发起兑换请求。
• 重新核对Android凭据的SHA-1和重定向URI配置，确保与客户端实际使用的参数完全一致。

内容的提问来源于stack exchange，提问作者David Brown