Google Cloud Authorized JavaScript Origins通配符替代方案及动态分支适配咨询

Google Cloud Platform 目前确实不支持在Authorized JavaScript Origins中配置根域名通配符，以下是3种可落地的成熟解决方案：

方案1：部署统一SSO代理层（推荐，无额外API调用成本） #

这是规模化多分支场景下最常用的解决方案：

• 部署一个固定域名的SSO代理服务，比如https://sso-proxy.ourdomain.com，只需要将这一个域名添加到Google OAuth客户端的授权源列表中
• 所有分支的前端登录请求不再直接调用Google SSO SDK，而是通过跳转、iframe或者跨域postMessage和代理服务交互
• 代理完成Google SSO验证后，将身份凭证通过加密后的查询参数或者postMessage回传给对应分支域名，完成身份同步
• 全程不需要修改Google Cloud Platform的OAuth配置，也不需要为每个分支单独做任何授权配置

方案2：在部署流程中调用GCP OAuth客户端配置API #

Google官方提供了程序化更新OAuth 2.0客户端配置的接口，可直接嵌入到CI/CD部署流程中：

• 提前创建具有OAuth客户端配置编辑权限的GCP服务账号，在CI/CD环境中注入该服务账号的访问密钥
• 分支部署完成后，调用对应接口将新分支的域名https://{branch-name}.ourdomain.com自动添加到Authorized JavaScript Origins列表
• 分支下线时同步调用接口移除对应域名，避免配置列表超限
• 注意：单个OAuth客户端的授权源列表有数量上限，如果你同时存在的活跃分支超过100个不推荐使用该方案

方案3：切换为服务端授权码流+统一跳转入口 #

如果你的多分支应用都复用同一套后端服务，可以调整授权流程规避JavaScript Origins限制：

• 所有分支的登录按钮直接跳转至后端服务的固定授权发起地址，不需要在前端初始化Google SSO SDK
• 后端服务统一向Google发起OAuth 2.0授权码流请求，只需要配置后端对应的固定授权回调地址
• 回调完成后，后端生成会话凭证，再跳转回对应分支的域名完成登录状态同步
• 该场景下完全不需要配置任何前端分支域名到Google的授权源列表

内容的提问来源于stack exchange，提问作者Christian