Sign In With Google全域委派应用重复请求授权问题咨询

这个现象不符合全域委派应用的预期表现，本质是新版Sign In With Google（GSI）库默认配置没有适配Google Workspace Marketplace的全域预授权规则，完成对应配置后即可跳过普通用户的重复授权弹窗。

旧版Google Sign-In库默认会自动校验当前Workspace域名下超管配置的全域预授权状态，只要请求的权限在预授权列表内就不会弹出同意窗口；但新版GSI库默认走通用第三方应用的授权逻辑，不会主动识别Marketplace应用的域级预授权状态，必须手动调整配置才能复现旧库的静默登录效果。

具体配置步骤 #

1. 前端GSI初始化参数调整 #

初始化GSI客户端时必须补充两个关键参数，示例代码如下：

google.accounts.id.initialize({
  client_id: '你的应用OAuth客户端ID',
  callback: 登录回调处理函数,
  use_fedcm_for_prompt: true, // 核心参数：启用联邦凭据管理适配Workspace域预授权逻辑
  hosted_domain: '你的Workspace主域名', // 强制限定可登录账号为当前域下账号，避免外部账号触发授权校验
});

初始化完成后，对域内已预授权的用户直接调用google.accounts.id.prompt()即可触发静默登录，不要默认调用弹出账号选择器的交互模式。

2. Google Cloud控制台配置校验 #

• 进入对应项目的OAuth同意屏幕配置页，确认应用发布状态为「生产环境」，应用类型为「内部」（仅对当前Workspace域开放）
• 确认已授权域列表包含你部署应用的所有业务域名
• 核对前端使用的OAuth客户端ID，必须和你发布到Workspace Marketplace的应用绑定的客户端ID完全一致，禁止混用测试项目、其他项目的客户端ID

3. Workspace超管后台配置校验 #

• 用超级管理员账号进入Workspace管理后台，找到你发布的Marketplace应用，确认应用安装范围覆盖整个域或对应用户所在的组织单元
• 进入应用的数据访问配置页，核对已授权的scope列表和前端GSI请求的scope完全一致：你当前配置的https://www.googleapis.com/auth/userinfo.email、https://www.googleapis.com/auth/userinfo.profile两个权限必须和后台授权列表完全匹配，多传、漏传、错写任意scope都会触发重新授权弹窗

常见踩坑说明 #

• 只要前端请求的scope里包含任意一个没在全域预授权列表里的权限，不管其他权限是否已经预授权，都会弹出同意窗口
• 配置修改完成后，授权状态同步到全量域用户最长可能需要24小时，测试阶段可以用超管账号对测试账号单独重新授予应用权限，触发状态同步缩短等待时间
• 如果浏览器禁用了第三方Cookie，也可能导致预授权状态识别失败，触发授权弹窗，需要将应用域名加入浏览器第三方Cookie白名单

授权弹窗示例

内容的提问来源于stack exchange，提问作者Rony Bichler