Google OAuth2移动应用流程中redirect_uri的含义及后端必要性问询

核心问题说明 #

• 移动应用的redirect_uri是什么？
  和Web应用的/oauth2callback完全不同，移动应用的redirect_uri是自定义URI Scheme（比如com.your.app:/oauth2callback）或者针对Android/iOS的App Links/Universal Links。这个地址是用来让Google授权服务器在用户完成授权后，直接跳转回你的移动应用，而非后端服务。

• 移动应用流程是否需要后端？
  纯移动端独立完成授权可以不用后端，但结合你要把access_token、refresh_token存到后端、供服务器调用Google API的需求，必须引入后端，原因有三个：

  1. 安全：refresh_token长期有效，存在移动端容易被盗，后端存储更稳妥；
  2. 适配服务器API调用：后端直接用存储的凭证调用Google API，不用移动端反复发起授权；
  3. 简化管理：后端统一处理凭证刷新、过期逻辑，移动端不用维护复杂逻辑。

适配你需求的流程优化建议 #

参考你已实现的流程，调整为更安全合理的模式：

1. 移动端发起授权请求时，用自定义URI Scheme作为redirect_uri，只获取授权码（code），不要直接拿access_token和refresh_token；
2. 移动端把授权码传给你的后端服务；
3. 后端拿着授权码+客户端密钥（注意：客户端密钥绝对不能放在移动端）向Google服务器请求access_token和refresh_token；
4. 后端把凭证存入数据库，后续直接用这些凭证调用Google API；
5. 后端可以给移动端提供接口，返回API调用结果，或者直接处理业务逻辑。

关键注意事项 #

• 自定义URI Scheme必须提前在Google Cloud控制台的OAuth客户端配置里注册，否则Google服务器不会认可这个跳转地址；
• 客户端密钥绝对不能放在移动端代码里，否则会引发严重安全漏洞；
• 如果用App Links/Universal Links，需要完成对应域名的验证，确保只有你的应用能处理该链接。

内容的提问来源于stack exchange，提问作者Benyamin Jafari