如何通过GCE Go客户端实现OAuth2自动认证？

一、是否必须使用OAuth2认证？ #

答案是不一定，得看你的程序运行环境：

• 如果你的Go代码是跑在GCE实例内部的，完全不用手动搞OAuth2那一套——Google会自动给实例分配一个服务账号权限，你直接用默认应用凭据（ADC）就能调用API，省心得很。
• 如果程序是在GCE外面跑（比如本地电脑、其他云平台），有两个主流选择：
  • 用你现在尝试的OAuth2授权码流程，但这个默认需要手动交互；
  • 用服务账号密钥文件，这才是自动化场景的首选，完全不需要手动点授权。

二、当前代码的问题&自动认证的实现方法 #

先说说你代码里的几个坑，这也是导致你现在遇到问题的原因：

1. TokenURL填错了：AuthURL是https://accounts.google.com/o/oauth2/auth没错，但TokenURL得是https://oauth2.googleapis.com/token，俩地址不一样的。
2. RedirectURL配置错误：这个地址得是你在Google Cloud Console注册OAuth客户端时填的回调地址，不能直接写API的scope地址啊！本地测试的话，一般用http://localhost:8080/callback这种能访问到的地址。

下面给你推荐两种靠谱的自动认证方案：

方案1：用服务账号实现无交互自动认证（强烈推荐） #

这是生产环境或者自动化脚本的标准做法，步骤也简单：

1. 去Google Cloud Console创建一个服务账号，给它加个Compute Viewer权限（或者更高权限，看你需要），确保它能读GCE实例信息。
2. 下载这个服务账号的JSON密钥文件，存到安全的地方。
3. 修改你的代码，用这个密钥文件初始化Compute服务就行，示例代码如下：

package main

import (
	"context"
	"fmt"
	"log"
	"os"

	"google.golang.org/api/compute/v1"
	"google.golang.org/api/option"
)

type GCE struct {
	*compute.Service
}

var ctx = context.Background()

func initGCE() *GCE {
	// 替换成你自己的服务账号密钥文件路径
	credPath := "/path/to/your/service-account-key.json"
	service, err := compute.NewService(ctx, option.WithCredentialsFile(credPath))
	if err != nil {
		log.Fatalf("创建Compute服务失败: %v", err)
	}
	return &GCE{service}
}

func (g *GCE) Instance() {
	project := "arctic-cyclist-189707"
	zone := "us-east1-b"
	instance := "centos7"
	resp, err := g.Instances.Get(project, zone, instance).Context(ctx).Do()
	if err != nil {
		fmt.Println(err)
		return
	}
	fmt.Printf("%#v\n", resp)
}

func main() {
	gce := initGCE()
	gce.Instance()
}

方案2：在GCE内部运行时用默认凭据 #

如果你的代码直接部署在GCE实例上，那连密钥文件都不用——Google会自动帮你搞定凭据，代码更简洁：

package main

import (
	"context"
	"fmt"
	"log"

	"google.golang.org/api/compute/v1"
)

type GCE struct {
	*compute.Service
}

var ctx = context.Background()

func initGCE() *GCE {
	// 自动加载GCE实例的默认服务账号凭据
	service, err := compute.NewService(ctx)
	if err != nil {
		log.Fatalf("创建Compute服务失败: %v", err)
	}
	return &GCE{service}
}

func (g *GCE) Instance() {
	project := "arctic-cyclist-189707"
	zone := "us-east1-b"
	instance := "centos7"
	resp, err := g.Instances.Get(project, zone, instance).Context(ctx).Do()
	if err != nil {
		fmt.Println(err)
		return
	}
	fmt.Printf("%#v\n", resp)
}

func main() {
	gce := initGCE()
	gce.Instance()
}

补充：如果非要用OAuth2实现自动认证（不推荐） #

要是你确实需要用OAuth2授权码流程，还想自动完成，那得这么搞：

1. 在Google Cloud Console里把OAuth客户端的RedirectURL配置成http://localhost:8080/callback这类本地可访问的地址；
2. 写个简单的HTTP服务器来接收回调里的授权码，代替手动输入；
3. 用无头浏览器（比如Chrome Headless）自动访问授权URL并获取代码，但这种方式容易触发Google的安全拦截，只适合测试，不适合生产。

总结一下 #

• 完全没必要非得用OAuth2，服务账号或者GCE内部的默认凭据才是更省心的选择；
• 自动认证的最佳实践就是用服务账号密钥（外部环境）或者默认凭据（GCE内部）。

内容的提问来源于stack exchange，提问作者sheldon