如何为Google OAuth 2添加参数：在授权请求传入用户ID并回调返回

Google OAuth官方就支持通过state参数来传递自定义的用户ID（或者任何你需要的自定义数据），这不仅是可行的方案，还是官方推荐的做法——因为state参数同时能帮你防范CSRF攻击，一举两得。

具体实现步骤： #

1. 发起授权请求时添加state参数

在构造授权URL的时候，把你的用户ID（或者封装了用户ID的结构化数据）放到state参数里即可。

如果只是简单传递用户ID，直接拼接就行：

# 假设你的用户ID是"user_12345"
user_id = "user_12345"
auth_url = f"https://accounts.google.com/o/oauth2/v2/auth?client_id={你的客户端ID}&redirect_uri={你的回调地址}&response_type=code&scope=openid%20email%20profile&state={user_id}"

如果需要传递多个自定义数据（比如用户ID+其他业务标识），建议把数据序列化为JSON后转成Base64编码，避免特殊字符导致的问题：

import json
import base64

# 封装需要传递的自定义数据
state_payload = {
    "user_id": "user_12345",
    "session_id": "sess_67890"
}
# 编码成URL安全的Base64字符串
encoded_state = base64.urlsafe_b64encode(json.dumps(state_payload).encode()).decode()

# 构造带state参数的授权URL
auth_url = f"https://accounts.google.com/o/oauth2/v2/auth?client_id={你的客户端ID}&redirect_uri={你的回调地址}&response_type=code&scope=openid%20email%20profile&state={encoded_state}"

2. 在回调接口中获取并解析state参数

当用户完成授权流程后，Google会将你传入的state参数原封不动地返回给你的回调URL，你只需要从请求参数中取出它即可。

以Flask框架为例，回调接口的处理逻辑大概是这样：

from flask import request
import json
import base64

@app.route('/google-oauth-callback')
def oauth_callback():
    # 从请求参数中获取state
    received_state = request.args.get('state')
    
    # 如果是Base64编码的，先解码
    decoded_payload = json.loads(base64.urlsafe_b64decode(received_state).decode())
    user_id = decoded_payload.get('user_id')
    
    # 接下来你就可以用这个user_id关联授权后的用户数据了
    # ...（处理授权码、获取用户信息等逻辑）
    
    return f"成功获取用户ID：{user_id}"

重要注意事项： #

• 不要尝试添加state以外的自定义参数，Google OAuth只会返回它预定义的参数，自定义参数会被直接忽略。
• 如果传递的是敏感数据，建议对state的内容进行加密处理，避免数据泄露。
• 别忘了利用state防范CSRF攻击：发起请求前可以把state和用户的会话绑定（比如存在Session里），回调时验证收到的state是否和会话中的一致，防止恶意请求。

内容的提问来源于stack exchange，提问作者PrStandup