.NET中Google身份验证新增Calendar权限的实现方案咨询

针对你的需求，有两种可行的实现方式，都能避免普通用户需要授权Calendar权限，仅让使用小众功能的用户触发额外权限的授权流程：

方案一：添加第二个Google身份验证方案 #

你可以在Startup.cs中配置两个独立的Google身份验证方案，一个用于普通登录（无Calendar权限），另一个专门用于Calendar权限的授权，两者使用同一个ClientId/ClientSecret即可（Google允许同一个客户端ID申请不同权限范围）。

1. 修改Startup.cs配置 #

// 原有普通登录用的Google身份验证方案
.AddGoogle(options =>
{
  options.ClientId = "__CLIENTID__";
  options.ClientSecret = "__CLIENTSECRET__";
  options.SaveTokens = true;
  options.AccessType = "offline";
  options.AuthorizationEndpoint += "?prompt=consent";
  options.ClaimActions.MapJsonKey("image", "picture");
})
// 新增用于Calendar权限的Google身份验证方案，指定唯一方案名"GoogleCalendar"
.AddGoogle("GoogleCalendar", options =>
{
  options.ClientId = "__CLIENTID__";
  options.ClientSecret = "__CLIENTSECRET__";
  options.SaveTokens = true;
  options.AccessType = "offline";
  options.AuthorizationEndpoint += "?prompt=consent";
  // 添加Calendar只读权限
  options.Scope.Add("https://www.googleapis.com/auth/calendar.readonly");
});

2. 触发Calendar授权流程 #

在触发小众功能的授权时，指定使用GoogleCalendar方案：

var redirectUrl = "...my redirect url";
var properties = _signInManager.ConfigureExternalAuthenticationProperties("GoogleCalendar", redirectUrl);
// 可添加自定义标识，方便回调时区分处理场景
properties.Items["AuthPurpose"] = "CalendarAssociation";
return new ChallengeResult("GoogleCalendar", properties);

3. 回调处理 #

在外部登录回调方法中，通过properties.Items["AuthPurpose"]判断是否为Calendar授权，获取令牌后关联到当前用户的账号信息中即可。

方案二：手动实现OAuth2授权流程（绕过Identity） #

如果希望完全掌控授权流程，可以手动构建Google OAuth2的授权和令牌交换逻辑，仅在用户使用小众功能时触发该流程。

1. 构建授权URL并跳转 #

public IActionResult StartCalendarAssociation()
{
    var clientId = "__CLIENTID__";
    // 生成回调地址，需与Google控制台配置的回调地址一致
    var redirectUri = Url.Action("CalendarAuthCallback", "YourController", null, Request.Scheme);
    var encodedScope = Uri.EscapeDataString("https://www.googleapis.com/auth/calendar.readonly");
    
    // 构建Google授权URL
    var authUrl = $"https://accounts.google.com/o/oauth2/v2/auth?client_id={clientId}&redirect_uri={redirectUri}&response_type=code&scope={encodedScope}&access_type=offline&prompt=consent";
    
    return Redirect(authUrl);
}

2. 处理回调并交换令牌 #

private readonly IHttpClientFactory _httpClientFactory;
private readonly UserManager<ApplicationUser> _userManager;

// 通过构造函数注入依赖
public YourController(IHttpClientFactory httpClientFactory, UserManager<ApplicationUser> userManager)
{
    _httpClientFactory = httpClientFactory;
    _userManager = userManager;
}

public async Task<IActionResult> CalendarAuthCallback(string code)
{
    var clientId = "__CLIENTID__";
    var clientSecret = "__CLIENTSECRET__";
    var redirectUri = Url.Action("CalendarAuthCallback", "YourController", null, Request.Scheme);
    
    // 向Google令牌端点发送请求，交换授权码为访问令牌和刷新令牌
    var tokenRequest = new HttpRequestMessage(HttpMethod.Post, "https://oauth2.googleapis.com/token");
    tokenRequest.Content = new FormUrlEncodedContent(new Dictionary<string, string>
    {
        ["code"] = code,
        ["client_id"] = clientId,
        ["client_secret"] = clientSecret,
        ["redirect_uri"] = redirectUri,
        ["grant_type"] = "authorization_code"
    });
    
    var httpClient = _httpClientFactory.CreateClient();
    var tokenResponse = await httpClient.SendAsync(tokenRequest);
    tokenResponse.EnsureSuccessStatusCode();
    
    // 解析令牌响应
    var tokenData = await tokenResponse.Content.ReadFromJsonAsync<GoogleTokenDto>();
    
    // 将令牌关联到当前用户（示例：保存到数据库）
    var currentUser = await _userManager.GetUserAsync(User);
    // 假设你有自定义服务处理用户与Google Calendar的关联
    await _userCalendarLinkService.SaveUserCalendarTokens(currentUser.Id, tokenData.AccessToken, tokenData.RefreshToken, tokenData.ExpiresIn);
    
    return RedirectToAction("CalendarAssociationSuccess");
}

// 定义令牌数据模型
public class GoogleTokenDto
{
    [JsonPropertyName("access_token")]
    public string AccessToken { get; set; } = string.Empty;
    
    [JsonPropertyName("refresh_token")]
    public string RefreshToken { get; set; } = string.Empty;
    
    [JsonPropertyName("expires_in")]
    public int ExpiresIn { get; set; }
    
    [JsonPropertyName("token_type")]
    public string TokenType { get; set; } = string.Empty;
}

方案对比 #

• 方案一：复用Identity的外部登录机制，代码简洁，无需手动处理OAuth流程细节，但需要维护两个身份验证方案，回调时需区分授权场景。
• 方案二：完全自定义授权流程，灵活性更高，适合小众功能的定制需求，但需要自行处理授权码交换、令牌存储等逻辑，代码量相对较大。

两种方案都能确保只有使用小众功能的用户才会触发Calendar权限的授权，普通登录用户不会受到影响。

内容的提问来源于stack exchange，提问作者scgough