生产环境Android端调用Google API遇401: Invalid Credentials错误求助

这种环境差异引发的问题，往往和生产环境特有的配置或运行条件强相关。结合你不用Google SDK、纯靠浏览器完成认证的场景，我整理了几个最可能的原因和对应的排查解决方向：

1. Google Cloud Console的Android客户端ID配置错误 #

这是生产环境OAuth认证失败的头号元凶——开发和生产版本的Android应用签名证书指纹完全不同：

• 你大概率只在Google Cloud Console里配置了debug版本的SHA-1指纹，而生产环境用的是release签名的指纹，直接导致Google拒绝了生产环境的token验证请求。
• 排查&解决：
  • 用命令生成release版本的SHA-1指纹：keytool -list -v -keystore your-release-keystore.jks
  • 登录Google Cloud Console，找到你的OAuth 2.0客户端ID，把release指纹添加到Android客户端的配置项里。
  • 额外提醒：如果你的应用用了App Bundle发布，还要把Google Play签名的SHA-1（在Google Play Console的「应用签名」页面可查）也加进去。

2. Token存储或传递过程中被损坏 #

Android生产环境通常会开启代码混淆、加密存储等机制，很可能导致token在存储或传递时被篡改：

• 检查你存储refresh token/access token的逻辑：是否用了安全的存储方式（比如Jetpack Security加密存储），生产环境的混淆规则有没有误处理token相关的类？
• 排查&解决：
  • 在生产环境临时打印token的前几位和长度（注意绝对不能泄露完整token），和开发环境的有效token对比，看是否一致。
  • 调整混淆规则，确保和token解析、存储相关的类（比如Gson模型类、自定义token管理类）不被混淆。

3. Offline Access的Refresh Token获取/使用异常 #

你请求的是offline access权限，但生产环境可能没正确拿到refresh token，或者token过期后没执行刷新逻辑：

• Google OAuth 2.0规则里，只有第一次授权时会返回refresh token（除非授权URL里加了prompt=consent参数），如果生产环境用户之前授权过但没重新授权，可能手里根本没有有效的refresh token。
• 排查&解决：
  • 在授权请求URL里强制加上prompt=consent参数，确保每次授权都能拿到refresh token（测试阶段可用，正式环境可根据用户授权状态调整）。
  • 检查refresh token的刷新逻辑：是否在access token过期时调用了Google的token刷新接口，并且正确替换了新的access token。

4. 请求头或User-Agent差异导致验证失败 #

Android端浏览器的User-Agent和Web端差异很大，Google的认证服务可能对某些请求头有隐性校验：

• 对比Web端和Android端的请求，看是否带了正确的Authorization: Bearer {token}头，User-Agent是否被恶意修改过？
• 排查&解决：
  • 用Charles或Fiddler抓包生产环境的请求，和Web端的请求头做对比，重点看Authorization和User-Agent字段。
  • 尝试在Android端的请求中设置和Web端完全相同的User-Agent，看是否能解决401问题。

5. 生产环境的网络拦截或代理问题 #

部分Android设备在生产环境可能连接了企业代理、VPN，或者系统的网络安全配置拦截了请求：

• 检查你的应用是否配置了正确的网络安全策略（比如network_security_config.xml），是否允许和Google的API域名通信？
• 排查&解决：
  • 在生产环境设备上关闭代理/VPN，直接连接网络测试，看是否还会出现401错误。
  • 检查应用的网络安全配置，确保没有阻止accounts.google.com或www.googleapis.com的请求。

内容的提问来源于stack exchange，提问作者Hank Hsiao