如何基于accounts.google.com返回的code计算gerritcodereview作用域的Cookie？

嘿，我来帮你理清楚这个流程——其实这是OAuth2授权码流程的延伸，结合Gerrit的特定端点来生成认证Cookie，步骤并不复杂：

1. 用授权码code交换Google访问令牌 #

首先，你拿到的code是OAuth2的授权码，它本身不能直接生成Cookie，得先和Google的令牌服务交换成有效的访问令牌。你需要发送一个POST请求到Google的令牌端点，参数必须包含这些：

• grant_type: 固定填authorization_code，告诉Google你要交换授权码
• code: 你从accounts.google.com拿到的那个授权码
• client_id: 你的Gerrit实例对应的Google OAuth2客户端ID（这个是在Gerrit配置里预先设置的，通常来自Google Cloud Console创建的项目）
• client_secret: 和上面client_id对应的客户端密钥
• redirect_uri: 必须和你获取授权码时使用的跳转地址完全一致（Gerrit默认用https://<你的Gerrit域名>/oauth/callback）

举个curl命令的例子：

curl -X POST \
  https://oauth2.googleapis.com/token \
  -d "grant_type=authorization_code" \
  -d "code=YOUR_AUTH_CODE" \
  -d "client_id=YOUR_CLIENT_ID" \
  -d "client_secret=YOUR_CLIENT_SECRET" \
  -d "redirect_uri=https://your-gerrit-domain.com/oauth/callback"

这个请求的响应里会包含access_token字段，这就是我们下一步要用的关键令牌。

2. 用访问令牌向Gerrit请求认证Cookie #

拿到访问令牌后，你需要向Gerrit的专属端点发送请求，让它生成可以被Git客户端识别的认证Cookie。具体是向/a/accounts/self/oauth2/cookie发送GET请求，并且在请求头里带上访问令牌：

curl示例：

curl -X GET \
  https://your-gerrit-domain.com/a/accounts/self/oauth2/cookie \
  -H "Authorization: Bearer YOUR_ACCESS_TOKEN"

Gerrit会在响应的Set-Cookie头里返回名为GerritAccount的Cookie，这个就是你需要的——Git客户端在执行需要认证的操作（比如push、clone私有仓库）时，发送这个Cookie就能通过Gerrit的认证。

额外注意点 #

• 这个Cookie的作用域是你的Gerrit域名，并不是所有Git仓库网站，只有配置了该OAuth2客户端的Gerrit实例会识别它。
• Git客户端需要配置发送这个Cookie，比如可以用git config http.cookieFile /path/to/cookie-file指定存储Cookie的文件，或者在请求中手动带上Cookie头。
• 授权码code是一次性的，只能用来交换一次访问令牌，过期或者使用后就失效了，需要重新发起授权流程获取新的code。

内容的提问来源于stack exchange，提问作者user2284570