Google OAuth2.0测试模式下非测试用户仍可登录的问题问询

关键认知纠正 #

Google OAuth同意屏幕的测试模式准入规则，从来不是对所有登录流程生效：

• 测试模式的拦截逻辑，仅针对需要Google官方审核的敏感/受限权限范围。只要你的应用申请了这类权限，非测试列表内的账号会在授权环节被直接拦截，无法获取有效令牌
• 如果你当前仅使用基础用户信息权限（openid、email、profile），这类权限属于无需审核的开放范围，测试模式的准入限制对这类请求完全无效，任何Google账号都可以正常完成授权、获取有效令牌——这种场景下非测试用户能登录，完全符合Google的规则，不是配置错误

逐点排查动作 #

• 先确认你前端实际申请的权限范围：
  • 如果是react-google-login默认的基础权限范围，不需要额外调整Google侧配置，这个场景下的非测试用户登录是正常规则表现
  • 如果确实申请了需要审核的敏感权限，逐项检查配置：
    • 申请的敏感权限是否已经完整录入OAuth同意屏幕的权限列表，而非仅在前端传参
    • 测试用户列表是否添加了所有预期允许登录的账号
• 校验授权回调的有效性：
  旧版本react-google-login已停止维护，存在回调状态判断缺陷——哪怕用户在Google侧被拦截、没有拿到有效令牌，部分场景下前端仍会触发“登录成功”的回调。可以通过调用Google用户信息接口验证返回的令牌是否有效，区分“真登录成功”和“回调误判的假成功”

优化建议 #

• 测试阶段如果需要严格限制只有指定账号能登录，不要依赖Google侧的规则，在业务逻辑层增加白名单校验：
  拿到授权返回的用户身份信息后，和预设的准入列表做比对，不在列表内的直接终止登录流程、清理本地授权状态
• 待应用完成公开发布、通过所有申请权限的审核后，再放开白名单限制

内容的提问来源于stack exchange，提问作者Centaurian