.NET Web API无前端实现Google认证：如何读取Google重定向响应

核心流程：授权码流（Authorization Code Flow） #

这是服务器端OAuth2的标准安全流程，适配无前端场景，可完整获取用户数据：

1. 配置Google OAuth客户端 #

• 登录Google Cloud控制台，创建OAuth 2.0客户端ID，应用类型选择「Web应用」
• 设置授权重定向URI为你的服务器回调地址（例如https://your-server-domain.com/auth/google/callback）
• 保存生成的客户端ID和客户端密钥，这两个是后续请求的核心凭证

2. 生成授权URL引导用户授权 #

服务器构造授权请求URL，让用户在浏览器中打开完成登录授权：

https://accounts.google.com/o/oauth2/v2/auth?client_id=你的客户端ID&redirect_uri=你的回调URI&response_type=code&scope=openid%20email%20profile&state=随机字符串

• scope参数控制可获取的用户数据：openid是OpenID Connect必填项，email用于获取邮箱，profile用于获取姓名、头像等基本资料
• state是随机生成的字符串，服务器需临时存储，后续回调时验证，防止CSRF攻击

3. 处理回调并交换令牌 #

用户完成授权后，Google会自动重定向到你设置的回调地址，URL参数中会携带code（授权码）和state：

• 先验证state与之前存储的是否一致，验证通过再继续
• 向Google令牌端点POST请求交换令牌：

curl -X POST https://oauth2.googleapis.com/token \
  -d "code=回调获取的授权码" \
  -d "client_id=你的客户端ID" \
  -d "client_secret=你的客户端密钥" \
  -d "redirect_uri=你的回调URI" \
  -d "grant_type=authorization_code"

请求成功后会返回access_token（访问令牌）、id_token（身份令牌）、refresh_token（刷新令牌）

4. 获取用户完整数据 #

使用拿到的access_token向Google用户信息接口发送GET请求：

curl -H "Authorization: Bearer 你的access_token" https://www.googleapis.com/oauth2/v3/userinfo

接口返回的JSON数据包含用户的ID、姓名、邮箱、头像URL、语言偏好等你申请了权限的所有信息

无浏览器服务器的替代方案：设备授权流 #

如果你的服务器完全没有浏览器环境（比如纯命令行服务器），可以用设备授权流：

• 服务器向https://oauth2.googleapis.com/device/code发送POST请求，携带client_id和scope，获取device_code、user_code和verification_url
• 输出user_code和verification_url让用户在其他设备的浏览器中登录并输入user_code完成授权
• 服务器轮询https://oauth2.googleapis.com/token，携带client_id、client_secret、device_code和grant_type=urn:ietf:params:oauth:grant-type:device_code，直到获取到令牌，之后流程同授权码流

内容的提问来源于stack exchange，提问作者Tony Kristaki