Google Identity Services SDK弹窗模式授权码模型如何请求刷新/访问令牌？

问题核心是前端请求授权码时未指定合法的重定向地址，导致后端交换令牌时无法匹配。以下是具体修复步骤：

1. 配置合法的重定向URI #

在Google Cloud Console的OAuth 2.0客户端ID设置中，添加一个前端域名下的重定向地址（比如https://your-frontend-domain.com/google-auth-callback），确保地址精准匹配协议、域名和路径，不能有多余字符。

2. 修正前端初始化代码 #

在initCodeClient中显式指定redirect_uri（与控制台配置一致），同时完善回调函数处理授权码：

const tokenClient = google.accounts.oauth2.initCodeClient({
  client_id: CLIENT_ID,
  scope: SCOPES,
  callback: handleCodeCallback,
  ux_mode: 'popup',
  redirect_uri: 'https://your-frontend-domain.com/google-auth-callback'
});

function handleCodeCallback(response) {
  if (response.code) {
    // 将授权码发送到后端接口
    fetch('/backend/exchange-token', {
      method: 'POST',
      headers: { 'Content-Type': 'application/json' },
      body: JSON.stringify({ code: response.code })
    });
  }
}

// 触发授权弹窗
tokenClient.requestCode({ prompt: 'consent' });

3. 修正后端令牌交换代码 #

后端交换令牌时，必须使用和前端、控制台完全一致的redirect_uri，无需额外指定state（除非你在前端做了state验证）：

from google_auth_oauthlib.flow import Flow

flow = Flow.from_client_secrets_file(
    'client_secret.json',
    scopes=scopes,
    redirect_uri='https://your-frontend-domain.com/google-auth-callback'
)

# 交换令牌
credentials = flow.fetch_token(code=code)
# 提取所需令牌
refresh_token = credentials['refresh_token']
access_token = credentials['access_token']

关键注意事项 #

• 前后端及控制台的redirect_uri必须完全匹配，包括大小写、斜杠、协议（http/https），任何差异都会触发redirect_uri mismatch错误。
• 禁止使用storagerelay://这类Google内部地址，该地址仅用于前端弹窗临时通信，不符合OAuth2政策，无法用于后端令牌交换。

内容的提问来源于stack exchange，提问作者Raph