纯客户端Google API授权：如何避免重复OAuth授权流程？

针对纯客户端网页应用的Google OAuth令牌过期问题，你可以通过以下方式避免重复请求用户授权：

1. 使用静默授权（Silent Sign-In） #

纯客户端应用无法安全存储刷新令牌（易被XSS攻击窃取），因此静默授权是最优方案。它能在后台自动获取新的访问令牌，无需用户任何交互，前提是用户之前已授权过你的应用且当前仍登录Google账号。

实现方式：在令牌即将过期时，调用Google Auth2的signIn方法并传入prompt: 'none'参数，跳过用户交互步骤：

const authInstance = gapi.auth2.getAuthInstance();
const currentUser = authInstance.currentUser.get();

// 发起静默授权
currentUser.signIn({ prompt: 'none' })
  .then(() => {
    // 成功获取新令牌，可通过currentUser.getAuthResponse()获取
    const newToken = currentUser.getAuthResponse().access_token;
    // 用新令牌继续调用Calendar API
  })
  .catch(err => {
    // 静默授权失败（如用户登出Google或撤销授权），再引导用户重新授权
    console.error('静默授权失败:', err);
    // 此处显示登录按钮，让用户主动触发授权流程
  });

2. 主动监听令牌状态并提前刷新 #

不要等令牌过期后再处理，建议提前检测令牌有效期，在即将过期时自动触发静默授权：

• 利用gapi.auth2的token_changed事件监听令牌变化
• 或通过令牌的expires_at字段计算剩余时间，提前5-10分钟发起刷新请求

示例代码：

// 初始化后监听令牌状态
authInstance.currentUser.listen(user => {
  if (user.isSignedIn()) {
    const authResponse = user.getAuthResponse();
    // 计算令牌剩余有效时间（毫秒）
    const remainingTime = authResponse.expires_at - Date.now();
    
    // 提前5分钟（300000毫秒）触发刷新
    if (remainingTime < 300000) {
      user.signIn({ prompt: 'none' }).catch(() => {
        // 刷新失败，提示用户重新登录
      });
    }
  }
});

3. 确保OAuth配置正确 #

在Google Cloud Console中检查以下配置：

• 确认你的应用已添加正确的授权范围（如日历只读权限https://www.googleapis.com/auth/calendar.readonly）
• 确保OAuth同意屏幕已发布（针对外部用户），避免每次授权都需要审核
• 验证应用的授权回调地址与配置一致

通过以上方法，绝大多数情况下用户无需重复手动授权，只有当用户登出Google或撤销应用权限时，才需要重新触发授权流程。

内容的提问来源于stack exchange，提问作者Jeff Kaufman