如何无需用户登录即可获取Google平台的access token

你当前使用的是OAuth 2.0的授权码流程（Authorization Code Flow），该流程本身面向有终端用户参与的前端交互场景，所以需要跳转登录和授权页面是原生设计逻辑。无需用户登录获取token的可行方案有以下几种：

• 客户端凭证流程（Client Credentials Flow）
  这是无用户交互场景下最常用的标准方案，适用于服务端之间的内部资源访问、不需要关联具体用户权限的业务场景。你仅需要使用应用本身的client_id和client_secret，直接向授权服务器的token端点发起请求即可，全程不需要任何用户参与。
  示例请求参考：

  curl -X POST <授权服务器token端点地址> \
    -d "grant_type=client_credentials" \
    -d "client_id=你的应用ID" \
    -d "client_secret=你的应用密钥" \
    -d "scope=需要申请的权限范围"
  

  该流程获取的token归属应用本身，不关联任何用户身份，仅可用于不涉及用户私有数据访问的场景。
• 刷新令牌（Refresh Token）续期
  如果你是首次授权完成后，需要免用户登录续期token，可以使用首次用户授权后下发的refresh_token直接请求换新的access token，不需要用户再次登录授权。只要refresh_token未过期，就可以反复使用该方式完成token续期。
  示例请求参考：

  curl -X POST <授权服务器token端点地址> \
    -d "grant_type=refresh_token" \
    -d "client_id=你的应用ID" \
    -d "client_secret=你的应用密钥" \
    -d "refresh_token=你此前存储的有效刷新令牌"
  

• 资源所有者密码凭证流程（Resource Owner Password Credentials Flow）
  该方案目前已经不被推荐使用，仅可用于你完全信任客户端的内部封闭系统场景。你可以直接收集用户的账号密码，提交给授权服务器换取token，不需要跳转授权页，但该流程风险极高，极易泄露用户账号凭证，绝大多数公开OAuth服务现在都已经停止支持该流程。

注意：如果你的业务场景需要访问用户的私有数据，本质上必须经过用户的知情授权，不存在完全绕开用户授权就能获取对应用户权限的access token的合规方案。以上方案仅适用于不需要关联用户身份、或已经完成过首次用户授权的场景。

内容的提问来源于stack exchange，提问作者Paul Lin