使用Firebase Auth获取的refresh_token调用Google API遇invalid_grant问题求助

我之前也碰到过一模一样的问题，invalid_grant这个错误在Google OAuth场景下，大多和令牌有效性、权限配置或者库的使用方式有关，咱们一步步拆解解决：

1. 先排查最核心的问题：是否获取到了有效的Refresh Token #

你前端获取令牌的代码里，很可能漏掉了**offline_access权限**——这是Google OAuth返回长期有效Refresh Token的必要条件，默认Firebase Auth的Google登录不会自动请求这个权限。

修改前端登录逻辑，添加这个权限：

const provider = new firebase.auth.GoogleAuthProvider();
// 加上你需要的Google API权限（比如日历）
provider.addScope('https://www.googleapis.com/auth/calendar');
// 关键！必须添加这个才能拿到可用于刷新的Refresh Token
provider.addScope('offline_access');

firebase.auth().signInWithRedirect(provider);

之后重新授权登录，再检查Firestore里存储的refreshToken，确保它是一个有效的长字符串（不是空或短值）。

2. 确保OAuth客户端配置完全一致 #

你在Firebase Functions里初始化OAuth2客户端的ID和密钥，必须和前端Firebase Auth使用的Google OAuth客户端是同一个：

• 登录Google Cloud控制台，找到你的项目
• 进入「API和服务」→「凭据」，确认前端用的Web类型客户端ID，和Functions里硬编码/环境变量里的是同一个
• 检查客户端的「已授权重定向URI」是否包含Firebase Auth的回调地址（比如https://<你的项目ID>.firebaseapp.com/__/auth/handler）

3. 让Google Auth库自动处理令牌刷新 #

不要手动调用refreshAccessToken()，google-auth-library本身有自动刷新机制——只要你给客户端传入了有效的refresh_token，它会在access_token过期时自动刷新，完全不需要手动干预。

修改你的Functions代码，同时建议把敏感信息存在环境变量里（不要硬编码）：

const { google } = require('googleapis');
const admin = require('firebase-admin');

// 从环境变量读取客户端信息（推荐用firebase functions:config:set配置）
const oauth2Client = new google.auth.OAuth2(
  process.env.GOOGLE_CLIENT_ID,
  process.env.GOOGLE_CLIENT_SECRET
);

// 从Firestore获取用户令牌
const userDoc = await admin.firestore().collection('users').doc(uid).get();
const { accessToken, refreshToken } = userDoc.data();

// 设置凭据，库会自动管理过期刷新
oauth2Client.setCredentials({
  access_token: accessToken,
  refresh_token: refreshToken,
});

try {
  const calendar = google.calendar({ version: 'v3', auth: oauth2Client });
  const result = await calendar.calendarList.list();
  // 处理返回结果
} catch (error) {
  if (error.response?.data?.error === 'invalid_grant') {
    // 到这一步说明Refresh Token也失效了（比如用户取消了授权、令牌过期）
    console.log('Refresh Token失效，请引导用户重新登录授权');
    // 可以在Firestore给用户标记"需要重新授权"，前端检测后引导用户登录
  } else {
    throw error;
  }
}

4. 额外注意事项 #

• 永远不要把客户端密钥硬编码在代码里，用Firebase Functions的环境变量管理：

  firebase functions:config:set google.client_id="你的客户端ID" google.client_secret="你的客户端密钥"
  

  然后通过functions.config().google.client_id获取。
• 如果用户重新授权，记得更新Firestore里的accessToken和refreshToken，旧的令牌会被Google吊销。

内容的提问来源于stack exchange，提问作者akinov