新版Google Identity Services Web API的会话管理相关问题咨询

关于新版GSI的会话管理能力 #

新版GSI本身具备完整的会话管理能力，你目前仅拿到短期access token、无法静默刷新的问题，是因为你使用的是默认的纯前端隐式授权流，可通过两种方案实现免重复登录的体验：

• 开启GSI自动登录配置：如果用户在当前浏览器中已登录Google账号，且曾经授予过你的应用登录权限，后续访问你的站点时，GSI会自动静默完成授权流程，返回新的有效access token，全程无需用户进行任何点击操作，体验和旧版API完全一致。
• 切换为授权码流对接后端：将授权回调指向你的服务端接口，由后端向Google接口换取access token、refresh token以及身份凭证，后端可以在access token过期时，通过存储的refresh token静默换取新的有效凭证。同时你可以基于Google返回的可信身份信息，自行下发站点自有的会话凭证（Cookie、JWT等），自主控制会话有效期，不需要依赖Google access token的15分钟时效。

注意：refresh token属于高敏感凭证，禁止存储在前端，必须保存在服务端侧避免泄露风险

关于旧版废弃API的可用性 #

已废弃的旧版Google Sign-In Web API已于2023年3月31日正式停止服务，目前不存在任何可用性保障，调用请求随时可能完全失效，也不会接收任何安全漏洞更新，绝对不建议在生产环境继续使用。

内容的提问来源于stack exchange，提问作者TwistableGolf