如何在未知URL的WordPress插件中通过Google API完成OAuth2授权？

核心思路 #

你的需求是让任意域名的WordPress站点共用同一个Cloud项目的OAuth客户端ID，无需终端用户操作Cloud Console。关键是绕开预先固定重定向URI和JS来源的限制，以下是几种可行方案：

方案一：采用后端授权码流程，跳过JavaScript来源配置 #

1. 选用OAuth 2.0授权码流程（Authorization Code Flow），完全由插件后端发起和处理授权请求。此流程不需要在Cloud Console中配置"授权JavaScript来源"，因为前端不直接参与OAuth交互逻辑。
2. 在Cloud Console中，为客户端ID配置一个通用回调路径的逻辑不可行（Google不支持通配符域名），但你可以让插件动态生成当前站点的完整回调URI（例如https://{site-domain}/wp-admin/admin-post.php?action=gdrive_auth_callback），不过Google要求该URI必须预先注册，因此此方法仅适用于你能提前知晓用户域名的场景，不适合通用插件。

方案二：动态注册重定向URI（推荐） #

利用Google Cloud的OAuth API，让插件在首次使用时自动将当前站点的回调URI添加到你的客户端ID配置中：

1. 在你的Cloud项目中启用Google Identity and Access Management (IAM) API和OAuth 2.0 Client IDs API。
2. 创建一个拥有oauthconfig.clients.update权限的服务账号，下载密钥文件并集成到插件后端。
3. 用户首次激活插件并进入授权流程时，插件后端自动调用OAuth API，将当前站点的完整回调URI添加到客户端ID的重定向URI列表中。
4. 完成注册后再发起正常的OAuth授权请求，此时该URI已被Google认可。

注意：需妥善保管服务账号密钥，避免泄露；同时要处理重复添加同一URI的情况，防止API调用报错。

方案三：服务账号+域范围委派（仅适用于Google Workspace用户） #

如果插件目标用户是Google Workspace企业客户，可采用此方案：

1. 创建服务账号并启用域范围委派，赋予其Drive API的必要权限。
2. 让Workspace管理员在域控制台中授权你的服务账号访问用户的Drive数据。
3. 插件后端通过服务账号模拟用户身份，无需用户手动授权。但此方案不适用于普通个人Google账号用户。

额外注意事项 #

• 无论采用哪种方案，都要验证授权请求中的state参数，防止CSRF攻击。
• 授权时仅请求插件必需的Drive API权限（如https://www.googleapis.com/auth/drive.file，仅访问插件上传的文件），避免过度请求权限，提升用户信任度。

内容的提问来源于stack exchange，提问作者Daniel Klose