如何在Netlify随机部署预览URL中正确使用Google SSO？

Google OAuth报错的核心原因是：所有用于授权回调的URL必须预先在Google Cloud控制台的OAuth客户端配置中登记，而Netlify Deploy Preview生成的随机URL不在登记列表内，导致验证失败。针对staging/qa环境安全要求不高的场景，可采用以下几种可行方案：

方案1：使用自定义预览域名前缀+Google OAuth通配符 #

这种方案通过统一预览URL的域名格式，用通配符一次性覆盖所有预览地址，无需手动添加每个随机URL：

• 步骤1：配置Netlify自定义预览域名
  进入Netlify项目的「Domain management」设置，添加自定义子域名（如preview.yourdomain.com），并开启Deploy Previews的自定义域名功能。之后所有PR预览URL会统一格式为https://<PR编号>.preview.yourdomain.com。
• 步骤2：配置Google OAuth通配符URI
  在Google Cloud控制台的OAuth 2.0客户端ID设置中，添加https://*.preview.yourdomain.com作为授权重定向URI（Google允许通配符用于子域名层级，但主域名必须已完成验证）。同时在OAuth consent screen页面，将preview.yourdomain.com添加到已授权的域名列表中。

方案2：用Netlify函数做回调代理 #

通过一个固定的后端代理接收Google OAuth回调，再跳转到当前预览页面，只需登记这一个固定URI：

• 步骤1：部署Netlify回调代理函数
  编写一个简单的Netlify Function（路径示例：/.netlify/functions/google-callback），逻辑为：接收Google返回的授权码/令牌，解析前端传入的state参数（存储当前预览页面的URL），最后跳转到该预览URL并携带授权信息。
• 步骤2：配置Google OAuth固定URI
  在Google Cloud控制台中，将代理函数的固定URL（如https://your-main-site.netlify.app/.netlify/functions/google-callback）添加为重定向URI。
• 步骤3：前端请求时传递当前URL
  前端发起Google OAuth请求时，将当前预览页面的URL编码后放入state参数，确保代理能正确跳转回原页面。

方案3：放宽OAuth测试环境限制（仅适用于非生产） #

如果安全要求极低，可直接调整Google OAuth的控制台设置，减少验证限制：

• 将OAuth consent screen的应用类型设为「外部」，并将测试用户范围设置为「所有人」（需先完成域名验证）。
• 注意：此方法可能会触发Google的安全提示，仅建议在内部测试环境使用，切勿用于生产环境。

内容的提问来源于stack exchange，提问作者Pablo Fernandez