如何通过Firebase Google Auth获取offline access_type以获取refresh_token

我之前刚好踩过这个坑，来给你梳理下可行的解决方案：

首先你直接设置access_type: 'offline'不生效的核心原因是：Firebase的前端登录流程（不管是redirect还是popup）默认不会返回refresh_token，得满足特定条件，还要正确从授权凭证里提取信息才行。

正确实现步骤： #

1. 调整Provider的自定义参数
   除了access_type: 'offline'，还得加上prompt: 'consent'来触发权限确认流程——只有用户首次授权，或者重新确认权限时，Google才会返回refresh_token。修改后的代码：

   const provider = new firebase.auth.GoogleAuthProvider()
   provider.addScope('https://www.googleapis.com/auth/calendar')
   provider.setCustomParameters({ 
     access_type: 'offline',
     prompt: 'consent' // 强制用户重新授权，确保返回refresh_token
   })
   

   注意：prompt: 'consent'会让用户每次登录都看到权限确认弹窗，如果你不想每次都弹，可以只在首次登录或者检测到没有refresh_token的时候启用这个参数。

2. 通过登录回调提取refresh_token
   不管用signInWithRedirect还是signInWithPopup，都要在登录成功后从AuthCredential里提取refresh_token：

   • 用signInWithPopup的话，直接在回调里处理：

     firebase.auth().signInWithPopup(provider)
       .then((result) => {
         // 获取Google授权凭证
         const googleCredential = result.credential;
         // 这里就能拿到你需要的refresh_token了
         const refreshToken = googleCredential.refreshToken;
         // 把refresh_token存到后端数据库（别存在前端，不安全）
       })
       .catch((error) => {
         console.error('登录失败:', error);
       });
     

   • 坚持用signInWithRedirect的话，要在页面加载时调用getRedirectResult拿结果：

     window.addEventListener('load', () => {
       firebase.auth().getRedirectResult()
         .then((result) => {
           if (result?.credential) {
             const refreshToken = result.credential.refreshToken;
             // 保存refresh_token到后端
           }
         })
         .catch((error) => {
           console.error('重定向登录失败:', error);
         });
     });
     

3. 用refresh_token刷新access_token
   当Google的access_token过期后，在后端调用Google的token刷新接口获取新的access_token，示例（Node.js）：

   const axios = require('axios');
   
   async function refreshGoogleAccessToken(refreshToken) {
     const response = await axios.post('https://oauth2.googleapis.com/token', null, {
       params: {
         grant_type: 'refresh_token',
         client_id: '你的Google OAuth客户端ID',
         client_secret: '你的Google OAuth客户端密钥',
         refresh_token: refreshToken
       }
     });
     return response.data.access_token; // 新的access_token
   }
   

关键注意点： #

• 绝对不要在前端存储refresh_token，存在后端数据库才安全，避免泄露后被滥用。
• Firebase的user.getIdToken()返回的是Firebase自己的ID token，和Google的access_token不是一回事，别搞混了。
• 如果用户已经授权过你的应用，默认不会返回新的refresh_token，这时候用prompt: 'consent'强制重新授权就能拿到。

内容的提问来源于stack exchange，提问作者akinov