Google Calendar API能否复用前端谷歌授权令牌在后端插入日历事件？

是否可以复用前端获取的谷歌令牌？ #

可以，只要前端授权时已申请谷歌日历API对应的操作权限，就可以直接复用该令牌在后端调用日历接口。

现有代码错误原因 #

你当前使用的GoogleAuthorizationCodeFlow + AuthorizationCodeInstalledApp 是专为无前端参与、需要后端自行拉起谷歌授权页面的桌面端/本地应用场景设计的方案。你已经在前端完成了授权拿到了令牌，完全不需要走这套授权流程，所以才会出现日志弹出授权链接、401报错的问题。

正确实现方案 #

前置要求 #

前端在通过Firebase发起谷歌授权时，必须额外配置日历API对应的权限scope（比如插入事件需要https://www.googleapis.com/auth/calendar.events权限），且拿到的是谷歌原生的access token（不是Firebase生成的id token，两者不要混淆），提交表单时将该access token一同传给后端。

后端代码改造 #

删掉原有initialize方法里的授权流程逻辑，直接用前端传入的access token构造凭证即可，示例代码如下：

// 直接用前端传入的access token构造凭证，不需要走授权码流程
protected void initialize(String frontEndAccessToken) {
    Credential credential = new GoogleCredential().setAccessToken(frontEndAccessToken);
    service = new Calendar.Builder(HTTP_TRANSPORT, JSON_FACTORY, credential)
            .setApplicationName(APPLICATION_NAME)
            .build();
}

扩展场景补充 #

如果你的业务需要在用户授权1小时后（谷歌access token默认有效期为1小时）仍然可以调用谷歌日历API，需要做如下调整：

1. 前端授权时将access_type设置为offline，拿到refresh token后和access token一同传给后端存入数据库
2. 后端凭证构造逻辑添加refresh token和客户端密钥配置，令牌过期时会自动刷新：

protected void initialize(String accessToken, String refreshToken) {
    GoogleClientSecrets clientSecrets = createClientSecrets();
    Credential credential = new GoogleCredential.Builder()
            .setTransport(HTTP_TRANSPORT)
            .setJsonFactory(JSON_FACTORY)
            .setClientSecrets(clientSecrets)
            .build()
            .setAccessToken(accessToken)
            .setRefreshToken(refreshToken);
    service = new Calendar.Builder(HTTP_TRANSPORT, JSON_FACTORY, credential)
            .setApplicationName(APPLICATION_NAME)
            .build();
}

常见401排查点 #

• 确认前端申请的scope包含日历API对应的操作权限
• 确认前后端使用的谷歌客户端ID属于同一个谷歌云项目
• 确认传入的是谷歌原生access token，不是Firebase的id token
• 确认令牌未过期，过期的话用refresh token换新即可

内容的提问来源于stack exchange，提问作者Victor1125