如何在NodeJS(NestJS)中实现无存储Refresh Token的Gmail OAuth2邮件认证？

核心问题分析 #

当前把Refresh Token硬编码在.env文件中，当Google返回新的Refresh Token（或旧Token失效）时，应用无法自动更新，导致邮件服务中断，需要手动修改配置。要解决这个问题，需要实现Refresh Token的自动获取与持久化存储，替代静态的.env配置。

解决方案步骤 #

1. 实现OAuth2 Token自动刷新与存储逻辑

创建一个专门的服务来管理Google OAuth2凭证，负责刷新Access Token、更新Refresh Token，并将Token存储到数据库/Redis（而非.env），确保动态更新生效。

示例代码：

import { Injectable, Logger } from '@nestjs/common';
import axios from 'axios';

@Injectable()
export class OAuth2TokenService {
  private readonly GOOGLE_TOKEN_ENDPOINT = 'https://oauth2.googleapis.com/token';
  private readonly logger = new Logger(OAuth2TokenService.name);
  
  // 从环境变量初始化基础配置
  private clientId = process.env.GOOGLE_CLIENT;
  private clientSecret = process.env.GOOGLE_CLIENT_SECRET;
  private userEmail = process.env.GOOGLE_SENDER_EMAIL;
  // 从持久化存储加载最新Refresh Token（示例初始用.env值，后续动态更新）
  private refreshToken = process.env.REFRESH_TOKEN;

  /**
   * 刷新Access Token，若返回新的Refresh Token则自动更新存储
   */
  async refreshAccessToken(): Promise<{ accessToken: string }> {
    try {
      const response = await axios.post(this.GOOGLE_TOKEN_ENDPOINT, null, {
        params: {
          client_id: this.clientId,
          client_secret: this.clientSecret,
          refresh_token: this.refreshToken,
          grant_type: 'refresh_token',
        },
      });

      const { access_token: accessToken, refresh_token: newRefreshToken } = response.data;

      // 若返回新的Refresh Token，更新内存与持久化存储
      if (newRefreshToken) {
        this.refreshToken = newRefreshToken;
        // 写入数据库/Redis，示例：await this.redisClient.set('gmail_refresh_token', newRefreshToken);
        this.logger.log('Refresh Token已更新');
      }

      return { accessToken };
    } catch (error) {
      this.logger.error('Token刷新失败:', error.response?.data || error.message);
      throw error;
    }
  }

  /**
   * 获取最新的OAuth2认证配置，供邮件传输使用
   */
  async getLatestAuthConfig() {
    const { accessToken } = await this.refreshAccessToken();
    return {
      type: 'OAuth2' as const,
      user: this.userEmail,
      clientId: this.clientId,
      clientSecret: this.clientSecret,
      refreshToken: this.refreshToken,
      accessToken: accessToken,
    };
  }
}

2. 动态配置MailerModule

不再硬编码transport中的auth配置，而是通过forRootAsync注入Token服务，每次初始化邮件传输时获取最新的认证信息。

示例代码：

import { Module } from '@nestjs/common';
import { MailerModule } from '@nestjs-modules/mailer';
import { HandlebarsAdapter } from '@nestjs-modules/mailer/dist/adapters/handlebars.adapter';
import { join } from 'path';
import { OAuth2TokenService } from './oauth2-token.service';

@Module({
  imports: [
    MailerModule.forRootAsync({
      useFactory: async (tokenService: OAuth2TokenService) => ({
        transport: {
          service: 'gmail',
          secure: false,
          auth: await tokenService.getLatestAuthConfig(),
        },
        defaults: {
          from: '"ABC" <abc@gmail.com>',
        },
        template: {
          dir: join(__dirname, 'emails/templates'),
          adapter: new HandlebarsAdapter(),
          options: {
            strict: true,
          },
        },
      }),
      inject: [OAuth2TokenService],
    }),
  ],
  providers: [OAuth2TokenService],
  exports: [MailerModule],
})
export class MailModule {}

额外注意事项 #

• 首次获取Refresh Token：需要通过OAuth2授权码流程获取（设置access_type=offline），可以临时写一个接口引导用户授权，或用Postman手动获取初始Token。
• Token存储安全：Refresh Token需加密存储，避免明文泄露，可使用数据库加密字段或专门的密钥管理工具。
• 异常处理：若Refresh Token完全失效（如用户撤销授权），刷新会失败，需添加告警逻辑，提示重新进行授权。

内容的提问来源于stack exchange，提问作者Gimantha23