Node.js中如何通过oauth2Client实现多账户连接Google APIs

问题描述 #

在Node.js中使用oauth2Client对接谷歌API实现登录后，遇到两个核心问题：

• 未登录目标谷歌账户的其他浏览器，居然能访问该账户的全部信息
• 无法同时使用多个谷歌账户登录系统

当前实现的代码如下：

oauth2Client;
scopes;
drive;

googleExtensions;

/**
 * @constructor
 * @param client_id google
 * @param client_secret google
 * @param redirect_url
 * @param scopes authorization asked to the user
 */
constructor(client_id, client_secret, redirect_url, scopes) {
    this.oauth2Client = new google.auth.OAuth2(client_id, client_secret, redirect_url);
    this.scopes = scopes;
    this.drive = google.drive({version: 'v3', auth: this.oauth2Client});
}

/**
 * @returns authentication url from Google
 */
authenticate() {
    return this.oauth2Client.generateAuthUrl({
        access_type: 'offline',
        scope: this.scopes
    });

}

/** 
* sets the access and refresh tokens in the oauth2 client
* @param code authorization code from Google
*
*/
async getTokens(code, res) {
    try {
        const {tokens} = await this.oauth2Client.getToken(code)
        this.oauth2Client.setCredentials(tokens);console.log('Google token is : ', tokens)
    } catch (error) {
        console.log('error ', error);
        return null;
    }
}

问题根源 #

1. 共享实例导致令牌混用：当前代码中oauth2Client和drive是类的全局成员，所有用户请求都会复用同一个实例。一旦有用户登录，令牌会被覆盖到这个共享实例上，后续所有请求（不管哪个用户、哪个浏览器）都会用这个令牌访问数据，直接导致跨浏览器信息泄露和多账户冲突。
2. 无用户会话绑定：没有将用户的令牌与具体会话关联，系统无法区分不同用户的身份，自然无法支持多账户同时登录。

解决方案 #

核心思路是为每个用户会话创建独立的认证实例，并将令牌与用户会话绑定，彻底隔离不同用户的身份信息。

修改后的代码实现 #

const { google } = require('googleapis');

class GoogleAuthService {
    #clientId;
    #clientSecret;
    #redirectUrl;
    #scopes;

    /**
     * @constructor
     * @param client_id google
     * @param client_secret google
     * @param redirect_url
     * @param scopes authorization asked to the user
     */
    constructor(client_id, client_secret, redirect_url, scopes) {
        this.#clientId = client_id;
        this.#clientSecret = client_secret;
        this.#redirectUrl = redirect_url;
        this.#scopes = scopes;
    }

    /**
     * 生成谷歌授权URL
     */
    generateAuthUrl() {
        const oauth2Client = new google.auth.OAuth2(
            this.#clientId,
            this.#clientSecret,
            this.#redirectUrl
        );
        return oauth2Client.generateAuthUrl({
            access_type: 'offline',
            scope: this.#scopes,
            prompt: 'select_account' // 强制用户选择账户，支持多账户切换
        });
    }

    /** 
    * 交换授权码获取令牌，并存储到用户会话
    * @param code 谷歌返回的授权码
    * @param req Express请求对象（包含会话）
    */
    async getAndStoreTokens(code, req) {
        try {
            const oauth2Client = new google.auth.OAuth2(
                this.#clientId,
                this.#clientSecret,
                this.#redirectUrl
            );
            const { tokens } = await oauth2Client.getToken(code);
            // 将令牌存储到当前用户的会话中
            req.session.googleTokens = tokens;
            return tokens;
        } catch (error) {
            console.error('令牌获取失败:', error);
            return null;
        }
    }

    /**
     * 根据会话中的令牌创建已认证的Drive实例
     * @param req Express请求对象（包含会话）
     * @returns 已认证的Drive实例，未登录则返回null
     */
    getAuthenticatedDrive(req) {
        if (!req.session.googleTokens) {
            return null;
        }
        const oauth2Client = new google.auth.OAuth2(
            this.#clientId,
            this.#clientSecret,
            this.#redirectUrl
        );
        oauth2Client.setCredentials(req.session.googleTokens);
        return google.drive({ version: 'v3', auth: oauth2Client });
    }
}

module.exports = GoogleAuthService;

关键修改点说明 #

• 移除全局共享实例：不再在类级别维护oauth2Client和drive，而是在需要时为每个用户创建独立实例，彻底避免令牌混用。
• 强制账户选择：生成授权URL时添加prompt: 'select_account'参数，用户每次登录都会被要求选择账户，解决多账户无法切换的问题。
• 令牌绑定会话：将用户的令牌存储在req.session中，每个用户的会话独立，确保只有当前登录用户能访问自己的令牌。
• 会话驱动的认证实例：每次需要访问谷歌API时，从会话中取出令牌创建专属的认证实例，保证每个用户用自己的身份访问数据。

会话配置示例（Express） #

要实现会话管理，需要在Express中配置会话中间件（生产环境建议用Redis等持久化存储，而非内存）：

const express = require('express');
const session = require('express-session');
const GoogleAuthService = require('./GoogleAuthService');

const app = express();

// 配置会话中间件
app.use(session({
    secret: 'your-custom-secret-key', // 替换为自己的密钥
    resave: false,
    saveUninitialized: false,
    cookie: { 
        secure: process.env.NODE_ENV === 'production', // 生产环境启用HTTPS时设为true
        maxAge: 24 * 60 * 60 * 1000 // 会话有效期1天
    }
}));

// 初始化谷歌认证服务
const googleAuthService = new GoogleAuthService(
    'your-client-id',
    'your-client-secret',
    'your-redirect-url',
    ['https://www.googleapis.com/auth/drive.readonly']
);

// 登录路由
app.get('/auth/google', (req, res) => {
    const authUrl = googleAuthService.generateAuthUrl();
    res.redirect(authUrl);
});

// 回调路由
app.get('/auth/google/callback', async (req, res) => {
    const { code } = req.query;
    const tokens = await googleAuthService.getAndStoreTokens(code, req);
    tokens ? res.redirect('/dashboard') : res.status(401).send('登录失败');
});

// 获取Drive文件列表的路由
app.get('/drive/files', async (req, res) => {
    const drive = googleAuthService.getAuthenticatedDrive(req);
    if (!drive) return res.status(401).send('请先登录');
    
    try {
        const response = await drive.files.list({
            pageSize: 10,
            fields: 'nextPageToken, files(id, name)'
        });
        res.json(response.data.files);
    } catch (error) {
        res.status(500).send('获取文件失败');
    }
});

app.listen(3000, () => {
    console.log('服务器运行在端口3000');
});

内容的提问来源于stack exchange，提问作者fitMath