新版Google Sign in with Google网页端自动/保持登录功能实现问题

核心逻辑梳理 #

新版GSI的作用仅为身份真实性核验，它只负责告诉你「当前发起登录请求的用户确实是对应的Google账号持有者」，后续你站点的登录会话完全由你自行管理，和用户的Google账号登录状态互相独立，这个设计是官方明确规定的，你之前的理解完全正确。

完整实现步骤 #

• 第一步：处理首次登录回调
  用户点击Google登录按钮并完成授权后，前端会拿到Google返回的ID Token（JWT格式），你需要将这个Token发送到自有后端做校验：
  1. 校验Token签名是Google官方签发的
  2. 校验Token的受众字段（aud）为你应用的Google客户端ID
  3. 校验Token未过期
     校验全部通过后，即可从Token的sub字段拿到该用户在你应用内唯一不变的Google身份标识，确认用户身份合法。
• 第二步：生成自有会话凭证
  确认用户身份合法后，由你的后端自行签发站点的登录凭证，比如HttpOnly属性的会话Cookie，或者你自行签名的JWT，凭证的有效期、续期规则完全由你自定义（比如设置30天有效期），后续用户访问站点时优先校验你自己的会话凭证即可，不需要每次都请求Google。
• 第三步：实现无感自动登录
  如果你需要实现「用户未携带有效会话凭证时自动判断是否可以登录」的需求，可以调用GSI的静默登录能力：初始化GSI时将prompt参数设置为none，页面加载时GSI会在后台自动向Google发起请求，如果用户当前浏览器已登录Google且之前授权过你的应用，会直接返回新的ID Token，全程不需要用户操作，你拿到Token核验通过后自动给用户续上自有会话即可。

常见误区提醒 #

• 纯登录场景不需要交换access token，只有当你需要调用Google API访问用户的Google数据时才需要走授权码换access token的流程，普通登录只用ID Token即可完成身份核验。
• 不要将Google的access token/ID Token作为你站点的会话凭证使用，Google下发的Token有效期普遍较短（通常只有1小时），用你自行签发的会话凭证灵活度更高。
• 不需要强制同步用户的Google账号登录状态和你站点的登录状态，官方也不推荐这么做，会大幅降低用户体验。

内容的提问来源于stack exchange，提问作者Nick van H.