为什么我通过OAuth2获取的Google AdSense授权refresh token仅1小时就过期？

核心故障根因 #

你遇到的refresh token与access token完全等值、仅1小时有效期、无法静默刷新的问题，本质是授权流模式选错导致的：

• 参照的Android端原生Google账号集成流程，默认面向本地账号一键登录场景设计，该场景下的OAuth2授权默认不会返回可长期使用的refresh token，部分场景下返回的所谓refresh token就是access token本身的临时截断值，自然无法用来换发新的access token。
• 你当前使用的token刷新代码本身逻辑不存在问题，但传入接口的参数是没有长期有效性的临时假refresh token，所以调用刷新接口时会直接判定token失效，无法换发新的有效凭证，最终导致用户必须重复登录。

稳定获取长期有效凭证的正确实现逻辑 #

• 替换原有本地登录的默认授权流，切换为离线授权模式，发起授权请求时强制携带两个关键参数：
  • 指定access_type=offline，该参数为缺省关闭状态，不加的话Google不会返回长期refresh token
  • 加上prompt=consent，强制弹出用户授权确认页，避免Google静默复用之前的会话授权结果，跳过refresh token的返回环节
  • 申请的权限范围要和AdSense数据拉取的接口权限完全匹配，不能漏配
• 从离线授权的初始响应中，直接提取独立的refresh_token字段值做持久化存储，正常状态下该refresh token有效期可达6个月，只要用户不主动在Google账号中撤销对应用的授权，就可以反复用它换取有效期1小时的access token，完全不需要用户重复登录。

刷新逻辑的代码修正要点 #

你现有的如下刷新逻辑框架本身没有问题：

public TokenResponse refreshAccessToken(String refreshToken) throws IOException {
    TokenResponse response = new GoogleRefreshTokenRequest(
            new NetHttpTransport(),
            new JacksonFactory(),
            refreshToken, 
            "your clientId",
            "your clientSecret")
            .execute();
    return response;
}

只需要修正几个容易出错的细节：

• 替换代码中硬编码的clientId、clientSecret参数，必须和OAuth2控制台中配置的Web应用类型的客户端凭证完全一致，不能使用Android类型的客户端凭证，后者本身不支持refresh token换发access token的流程
• 调用刷新接口时，传入的refresh token要替换为离线授权流返回的真实长期值，不能继续使用之前默认本地登录流返回的、和access token等值的临时值
• 更安全的架构设计是将clientSecret、refresh token的存储逻辑放在自有后端服务上，移动端仅与自有后端交互获取有效access token，避免客户端密钥泄露

常见踩坑排查清单 #

• 调试阶段不要通过Google Play Services的本地登录弹窗获取token，该场景下Google出于安全考虑，最多只会返回2小时有效期的临时token，不会提供长期refresh token
• 同一个Google账号对同一个OAuth2客户端，最多同时保留5个有效refresh token，测试时如果反复发起授权请求，最早生成的refresh token会被自动失效
• 如果应用还处于Google OAuth的测试状态，没有完成正式上线的资质验证，拿到的refresh token最多7天就会自动过期，无法达到正常的6个月有效期
• 不要使用Implicit隐式授权流获取凭证，该授权流的设计本身就不支持返回长期refresh token

内容的提问来源于stack exchange，提问作者viltx