OAuth2与GoogleAppsEngine User API返回的Google Account ID不一致求助

你遇到的差异是因为两种方式返回的ID本质不同：

• GAE User API返回的是应用绑定的专属用户ID，这个ID是Google为你的GAE项目生成的，仅在该GAE应用内唯一，和全局账号ID不互通。
• OAuth2返回的是Google账号的全局唯一ID（即sub字段），这才是文档中提到的跨应用、跨登录方式永久唯一的标识。

方案1：从GAE User API迁移到全局ID（推荐） #

如果要彻底切换到新应用的登录体系，需要在旧GAE应用中补充获取全局Google账号ID，建立映射关系：

• 在旧GAE Java应用中，通过Google OAuth2 API获取当前用户的全局sub ID：
  1. 在Google Cloud Console的API库中启用Google OAuth2 API
  2. 用GAE User API拿到用户邮箱后，调用OAuth2的userinfo接口（或Google People API）获取sub字段
  3. 将旧的GAE用户ID和全局sub ID存储到数据库中，建立一一映射
• 新应用直接使用OAuth2返回的sub ID作为用户标识，后续登录统一用这个全局ID

方案2：在新应用中兼容GAE用户ID（临时过渡） #

如果需要临时让新旧应用的用户ID兼容，可以通过邮箱反向匹配：

• 新应用通过OAuth2获取用户的email字段
• 用该邮箱查询旧数据库中对应的GAE用户ID
• 注意：GSuite用户可能存在邮箱别名，需要确保匹配逻辑覆盖主邮箱和别名
• 这种方式仅适合过渡场景，长期建议迁移到全局sub ID——邮箱可能变更，而sub ID是永久不变的

关键注意事项 #

• 不要依赖GAE User API返回的ID做跨应用标识，它的作用域仅限原GAE项目
• 全局sub ID对同一个Google账号来说，无论用哪种OAuth2授权方式，返回值都一致，是可靠的跨应用用户标识
• 迁移过程中要确保数据一致性，比如在旧应用中批量导出用户邮箱和对应的sub ID，导入新数据库建立映射

内容的提问来源于stack exchange，提问作者madmaxmatze