使用前端获取的Google OAuth2 refresh token刷新access token报invalid_grant错误

遗漏排查点汇总 #

• 确认前端获取refresh token时的客户端凭证类型匹配：如果前端用Web应用类型的Client ID发起授权，后端必须使用同个Web应用的Client Secret，不可混用Android、iOS、桌面端等无Client Secret的客户端凭证，跨类型调用会直接返回invalid_grant。
• 校验refresh token传输前后的一致性：refresh token本身可能包含/、+、=等特殊字符，若前端传输时未做正确URL编码、或后端接收时做了多余的自动解码，会导致token内容失真。可逐字符对比前端获取的原始refresh token和后端实际拿到的token值，确认完全一致。
• 排查授权用户的账号及授权状态：如果用户修改了Google账号密码、主动撤销了应用授权、或账号被平台风控限制，已下发的refresh token会直接失效。可让测试用户进入Google账号的第三方应用管理页面，确认你的应用仍在已授权列表中。
• 检查refresh token的生效规则限制：Google对同一用户+同一客户端的有效refresh token数量上限为50个，超出后最早下发的token会自动失效；如果你的应用OAuth consent screen还处于测试状态，测试用户的refresh token有效期仅为7天，到期后自动失效。
• 确认前端授权参数配置正确：如果前端发起OAuth授权时未正确配置access_type=offline参数，或用户授权时未同意离线访问权限，你拿到的refresh token本身就是无效的，仅能拿到单次有效的access token，刷新时就会报错。
• 排查平台风控拦截问题：如果后端服务器IP所在地和授权用户所在地差异过大、或短时间内有大量刷新请求，Google风控系统会临时拦截请求返回invalid_grant，可尝试更换测试网络、降低请求频率后重试。

内容的提问来源于stack exchange，提问作者Tanuj Soni