Flutter Google Sign In对接Couchbase认证流程报错求助

• 迁移场景：应用从Firebase迁移至Couchbase，需替换认证模块
• 当前实现：使用google_sign_in包完成原生谷歌登录，可获取serverAuthCode
• 操作：将serverAuthCode发送至Couchbase Sync Gateway的_oidc_callback端点，已在Sync Gateway配置中设置disable_callback_state: true
• 错误反馈：收到500内部服务器错误，响应体如下：

{"error": "Internal Server Error", "reason": "Failed to exchange token: oauth2: cannot fetch token: 400 Bad Request
Response: {
"error": "invalid_grant",
"error_description": "Bad Request"
}"}

核心问题原因 #

Sync Gateway的_oidc_callback端点是为浏览器端OIDC授权码流设计的，原生应用通过google_sign_in获取的serverAuthCode不符合该端点的预期（比如缺少浏览器会话状态、redirect_uri不匹配、未使用PKCE验证等），导致令牌交换失败。

具体解决步骤 #

方案1：改用自定义认证端点（推荐） #

1. 在Sync Gateway配置中启用自定义认证，示例配置片段：

"auth": {
  "type": "custom",
  "custom_auth_handler": {
    "url": "http://your-auth-service.com/auth/google",
    "headers": {"Content-Type": "application/json"}
  }
}

2. 客户端调整逻辑：从google_sign_in获取idToken（而非serverAuthCode），将其发送到上述自定义认证端点。
3. 自定义认证服务实现：
   • 调用Google官方令牌验证API验证令牌有效性。
   • 验证通过后，生成符合Sync Gateway要求的JWT令牌，包含用户唯一标识（如Google用户ID作为sub字段），返回给客户端。
4. 客户端使用返回的JWT令牌，向Sync Gateway发起数据同步请求。

方案2：适配OIDC原生授权码流（备选） #

如果坚持使用OIDC流程，需要调整配置适配原生应用场景：

1. 在Google Cloud控制台中，为OAuth应用配置原生应用的redirect_uri（格式如com.your.app.package:/oauth2callback）。
2. 在Sync Gateway的OIDC配置中，指定相同的redirect_uri，并启用PKCE支持：

"auth": {
  "type": "oidc",
  "oidc": {
    "provider_url": "https://accounts.google.com",
    "client_id": "你的Google客户端ID",
    "client_secret": "你的Google客户端密钥",
    "redirect_uri": "com.your.app.package:/oauth2callback",
    "disable_callback_state": true,
    "pkce_enabled": true
  }
}

3. 客户端调整登录流程：
   • 使用google_sign_in时，确保请求的serverAuthCode包含PKCE相关参数。
   • 发送serverAuthCode到_oidc_callback时，附带redirect_uri和PKCE的code_verifier参数。

关键检查项 #

• 确认Google OAuth应用的client_id、client_secret与Sync Gateway配置完全一致。
• 确保serverAuthCode未过期（有效期通常为10分钟）且未被重复使用（授权码仅能兑换一次令牌）。

内容的提问来源于stack exchange，提问作者Florian