Google OAuth 2.0授权码流程token交换阶段出现invalid_grant错误（code_verifier相关问题排查）
看起来你遇到的是Google OAuth授权码交换时的PKCE参数不匹配问题，我来一步步帮你梳理：
首先明确：Google什么时候需要code_verifier？
没错，Google只在使用PKCE（授权码流程的扩展，针对无法安全存储客户端密钥的公共客户端）时，才要求传递code_verifier参数。如果你的流程没有启用PKCE，Google会拒绝带有code_verifier的请求——这也是你看到“code_verifier or verifier is not needed.”错误的核心原因。
为什么会出现code_verifier=undefined？
你说后端没有显式传递code_verifier，但请求里却带了这个参数且值为undefined，大概率是这两个原因之一：
- 前端库默认启用了PKCE：
@react-native-google-signin/google-signin对React Native这种公共客户端场景，可能默认开启了PKCE流程，所以返回的serverAuthCode是需要配合code_verifier验证的。但你没从前端获取这个verifier，后端自然无法正确传递，导致googleapis库自动填充了undefined的参数。 - googleapis库的隐式行为：
oauth2Client.getToken方法在某些配置下（比如客户端被识别为公共客户端），可能会自动尝试添加code_verifier参数，如果你没设置，就会变成undefined。
解决方法：针对性排查修复
方案1：前端禁用PKCE（如果不需要的话）
既然你用的是webClientId+offlineAccess模式，尝试在前端GoogleSignin.configure里添加PKCE禁用配置。查看库的文档，是否有类似usePKCE: false的选项（部分版本的库支持这个开关），这样前端返回的授权码就不需要PKCE验证，后端也不用处理verifier参数。
方案2：后端确保不发送code_verifier参数
目前你调用getToken({ code: receivedCode })，尝试直接传递code字符串而非对象：
const { tokens } = await oauth2Client.getToken(receivedCode);
如果还是不行，检查oauth2Client的初始化是否正确，确保是针对Web应用的客户端配置（不要混用移动应用凭证）：
const { google } = require('googleapis'); const oauth2Client = new google.auth.OAuth2( YOUR_WEB_CLIENT_ID, YOUR_WEB_CLIENT_SECRET, YOUR_REDIRECT_URI );
方案3：如果必须用PKCE，前端传递code_verifier给后端
如果前端无法禁用PKCE，那么需要在前端生成并保存code_verifier，同时将它和serverAuthCode一起传给后端。然后后端在调用getToken时，同时传递code和code_verifier：
const { tokens } = await oauth2Client.getToken({ code: receivedCode, code_verifier: receivedVerifier // 来自前端的verifier值 });
如何验证redirect URI完全匹配？
最简单的方法是手动模拟token请求，用curl或Postman直接调用Google的token接口，确保参数和后端一致：
curl -X POST https://oauth2.googleapis.com/token \ -d "code=YOUR_RECEIVED_CODE" \ -d "client_id=YOUR_WEB_CLIENT_ID" \ -d "client_secret=YOUR_WEB_CLIENT_SECRET" \ -d "redirect_uri=YOUR_REDIRECT_URI" \ -d "grant_type=authorization_code"
如果这个请求成功，说明是后端库的隐式行为导致的问题；如果还是报错，再仔细核对redirect URI的每一个字符（包括协议、大小写、斜杠，比如com.your.app:/oauthredirect和com.your.app://oauthredirect是不同的）。
invalid_grant错误的通用调试最佳实践
- 授权码只能用一次：确保后端收到code后立即交换，不要缓存或重复使用，否则会触发
invalid_grant。 - 检查客户端类型匹配：后端必须使用Web应用的客户端ID和密钥，和前端配置的
webClientId完全一致，不要混用Android/iOS的客户端凭证。 - 抓包看实际请求：在Node.js中开启
googleapis的调试日志，查看实际发送给Google的请求参数：
google.options({ debug: true });
或者用axios手动发送请求，代替googleapis库，排除库的隐式行为干扰。
4. 撤销旧授权重新测试：如果用户之前已经授权过，可能存在缓存的无效凭证，让用户在Google账户的「安全-第三方应用访问」里撤销你的应用授权，重新登录授权后再测试。
5. 确认offlineAccess生效：前端必须设置offlineAccess: true，否则返回的code无法交换refresh token，也可能导致token请求失败。
内容来源于stack exchange
