Google登录流程完成后如何对后续服务端接口调用进行授权？

核心误区澄清 #

• 你之前认为Google OAuth2.0返回的令牌不能保护自研接口的假设是错误的，Google返回的1小时有效期jwt（本质是ID Token）完全可以作为身份凭证用于自研接口的授权校验。
• 只有当你申请了访问Google自有服务（比如Google日历、云端硬盘）的权限scope时，Google才会下发refresh token。仅使用Google作为身份登录入口的场景下，不需要也无法获取refresh token，Google提供了更轻量的静默刷新方案来处理token过期问题。

完整实现流程 #

前端对接逻辑 #

• 使用新版Google Identity SDK完成登录流程，用户授权后获取返回的id_token、过期时长expires_in（默认3600秒）
• 本地存储id_token，后续所有向Spring Boot后端发起的受保护接口请求，都在请求头中携带Authorization: Bearer ${id_token}
• 当请求后端返回401状态码时，直接调用SDK提供的静默刷新接口，只要用户的Google账号处于登录状态，就可以无感知获取新的id_token，替换本地存储的旧令牌后重新发起请求即可，无需用户重复操作登录。

后端（Spring Boot）对接逻辑 #

• 新增全局拦截器/过滤器，拦截所有受保护接口的请求，优先校验请求头中是否携带合法的Bearer令牌，无令牌直接返回401
• 引入Google官方提供的Java ID Token校验依赖，对前端传入的令牌做合法性校验，自动完成签名、签发方、受众、有效期四个核心维度的校验，不需要手动实现JWT解析逻辑
• 校验通过后，从JWT payload中提取用户唯一标识sub字段、邮箱、昵称等信息，和自身系统的用户表做关联：如果是首次登录自动完成账号注册，非首次登录直接获取用户身份信息，写入Spring Security上下文后即可正常处理接口请求。
• 该方案为无状态实现，后端不需要存储用户会话信息，天然支持分布式部署。

可选进阶方案 #

如果需要自定义会话时长，不想受Google 1小时令牌有效期的限制，可以采用二次签发方案：

• 校验Google返回的id_token合法后，由你的后端自行签发系统专属的JWT令牌，有效期可自行设置（比如7天），同时可配套自定义的refresh token逻辑
• 将自研令牌返回给前端，后续前端使用自研令牌请求接口，后端自行完成令牌校验即可，完全自主控制会话规则。

选型建议 #

如果仅需要使用Google作为身份登录入口，不需要访问用户的Google服务数据，使用基础的Identity SDK获取ID Token即可满足需求，不需要接入完整的OAuth2.0授权流程，足够轻量易维护。如果后续有访问用户Google API的需求，再补充申请对应scope、接入完整OAuth2.0流程即可。

内容的提问来源于stack exchange，提问作者chris