如何从Google PHP API载荷中获取额外权限范围（Scope）信息？

我来帮你梳理下这个问题——你现在的核心困扰是：前端JS拿到的Google Access Token传到PHP后端后，能验证有效性但拿不到额外的Scope信息，对吧？结合你的实现方式，我从几个关键环节给你排查方案：

首先，确认前端是否传对了「正确的令牌」 #

很多人会在这里踩坑：混淆了Id Token和Access Token。前者是身份令牌，只包含用户基本身份信息（比如姓名、邮箱），没有权限范围；后者才是用来访问API、携带Scope信息的令牌。

检查你的前端代码：

• 确保你获取的是access_token而非id_token：

// 正确获取Access Token的方式
const authResponse = auth2.currentUser.get().getAuthResponse();
const accessToken = authResponse.access_token; // 重点是这个字段，不是id_token！

• 同时确认初始化Google授权时，已经请求了你需要的所有Scope：

gapi.load('auth2', function() {
  auth2 = gapi.auth2.init({
    client_id: '你的客户端ID',
    // 这里要包含所有你需要的权限，比如邮箱、Drive只读权限等
    scope: 'profile email https://www.googleapis.com/auth/drive.readonly' 
  });
});

后端验证并提取Scope信息的正确姿势 #

如果前端传的确实是Access Token，那后端可以通过两种方式获取Scope：

方式1：直接调用Google TokenInfo接口 #

不需要依赖官方库，简单直接：

$accessToken = $_POST['access_token']; // 前端AJAX传过来的令牌
$tokenInfoUrl = "https://oauth2.googleapis.com/tokeninfo?access_token=" . urlencode($accessToken);

// 获取令牌信息
$tokenInfo = json_decode(file_get_contents($tokenInfoUrl), true);

if (isset($tokenInfo['scope'])) {
    // 把空格分隔的Scope转为数组
    $authorizedScopes = explode(' ', $tokenInfo['scope']);
    print_r($authorizedScopes); // 这里就是用户授权的所有权限范围
} else {
    echo "令牌无效，或未包含权限信息";
}

方式2：使用Google PHP官方客户端库 #

如果你已经在项目里引入了Google PHP Client，用官方方法更规范：

require_once 'vendor/autoload.php';

$client = new Google\Client();
$client->setClientId('你的客户端ID'); // 和前端保持一致

// 验证Access Token并提取 payload
$payload = $client->verifyAccessToken($accessToken);

if ($payload) {
    // payload里的scope字段就是授权的权限范围
    $authorizedScopes = explode(' ', $payload['scope']);
    print_r($authorizedScopes);
} else {
    echo "无效的Access Token";
}

⚠️ 注意：别用verifyIdToken()方法，这个是用来验证身份令牌（Id Token）的，不适合处理Access Token。

额外排查：用户是否真的授权了对应Scope #

有时候即使你请求了Scope，用户可能在授权弹窗里拒绝了部分权限。可以在前端提前检查授权状态：

const user = auth2.currentUser.get();
// 检查是否授权了目标Scope
const hasDriveAccess = user.hasGrantedScopes('https://www.googleapis.com/auth/drive.readonly');

if (!hasDriveAccess) {
    // 提示用户重新授权
    user.grant({'scope': 'https://www.googleapis.com/auth/drive.readonly'})
      .then(() => {
          // 授权成功后再重新获取Access Token传给后端
      });
}

总结下来，最常见的问题就是前端传了Id Token而非Access Token，或者请求的Scope不全。按照上面的步骤排查，应该就能拿到你需要的额外权限信息了。

内容的提问来源于stack exchange，提问作者Swen