Google授权码兑换刷新/访问令牌问题（Python）

一、针对invalid_grant错误的核心排查点 #

• 授权码已过期或重复使用
  Google授权码code仅能使用一次，且有效期仅10分钟。若前端获取后未即时传给后端兑换，或后端重复发起请求，都会触发该错误。解决方式：

  • 前端拿到授权码后立刻调用后端兑换接口
  • 后端确保每个授权码只发起一次兑换请求

• redirect_uri完全不匹配
  兑换时的redirect_uri必须与前端发起授权请求时的字符串完全一致，包括协议（http/https）、域名、路径，甚至末尾斜杠都不能有差异。比如前端用https://your-app.com/auth/google/callback，后端兑换时必须使用完全相同的内容。

• 客户端类型与流程不匹配
  若在Google Cloud控制台创建的是「Web应用」类型客户端ID，必须确保使用Authorization Code Flow流程，不能混用以太网或其他类型流程。

二、解决其他参数错误（如The OAuth client was not found、invalid_request） #

• 确认client_id和client_secret完全正确
  从Google Cloud控制台「API和服务」→「凭据」页面完整复制客户端ID和密钥，不要手动截断或修改字符，尤其是特殊符号。

• 避免手动拼接payload
  手动拼接URL编码的payload极易出现编码错误（比如code中的/未正确转义、参数漏写）。改用requests的data参数传递字典，requests会自动完成编码：

  import requests
  
  url = "https://oauth2.googleapis.com/token"
  payload = {
      "code": "4/0AdQt...bg",  # 直接传原始授权码，无需手动URL编码
      "client_id": "92...cac42tg.apps.googleusercontent.com",
      "client_secret": "hw...u8D",
      "redirect_uri": "https://your-app.com/callback",  # 用原始字符串，无需编码
      "grant_type": "authorization_code"
  }
  headers = {"Content-Type": "application/x-www-form-urlencoded"}
  
  response = requests.post(url, headers=headers, data=payload)
  print(response.text)
  

三、推荐使用官方库简化流程 #

Google官方提供google-auth和google-auth-oauthlib库，适配Flask且更可靠，能自动处理令牌刷新、状态验证等问题：

1. 安装依赖：

   pip install google-auth google-auth-oauthlib google-auth-flask
   

2. Flask后端示例代码：

   from flask import Flask, request
   from google.oauth2.credentials import Credentials
   from google_auth_oauthlib.flow import Flow
   
   app = Flask(__name__)
   
   # 从Google Cloud控制台下载的客户端配置JSON路径
   CLIENT_SECRETS_FILE = "client_secret.json"
   
   # 按需调整授权范围
   SCOPES = ["openid", "email", "profile"]
   
   @app.route("/exchange-token", methods=["POST"])
   def exchange_token():
       code = request.json.get("code")
       flow = Flow.from_client_secrets_file(
           CLIENT_SECRETS_FILE,
           scopes=SCOPES,
           redirect_uri="https://your-app.com/callback"  # 与前端保持一致
       )
       flow.fetch_token(code=code)
       credentials = flow.credentials
       return {
           "access_token": credentials.token,
           "refresh_token": credentials.refresh_token,
           "expires_at": credentials.expiry.timestamp()
       }
   

四、前端配合注意事项 #

• 前端发起授权请求时，必须添加access_type=offline参数，才能获取refresh token（否则仅能拿到短期access token）
• Vue应用推荐使用vue-google-oauth2这类成熟库发起授权，避免手动拼接授权URL出错

内容的提问来源于stack exchange，提问作者Nath