如何从Google JavaScript API客户端（GAPI）的id_token中获取邮箱

我之前做多账户关联的Google集成时也碰到过这个坑，这种情况基本和授权请求的配置以及用户的授权行为直接相关，下面给你拆解原因和解决方案：

为什么id_token会偶尔缺少邮箱？ #

• Scope参数未正确配置：Google的ID Token只会携带你在授权请求中明确声明且用户同意的用户信息字段。如果你的scope里没有包含email或profile这类获取个人信息的权限，id_token自然不会有邮箱字段。
• 用户拒绝了邮箱权限：即使你加了对应scope，用户在授权弹窗里也可能选择拒绝共享邮箱信息，这时候返回的id_token就不会包含邮箱。

具体解决方案 #

1. 确保授权请求包含必要的Scope #

在调用gapi.auth2.authorize时，一定要把email和profile加到scope参数里，同时保留你需要的Google Calendar权限。示例代码如下：

const authParams = {
  client_id: '你的客户端ID',
  scope: 'https://www.googleapis.com/auth/calendar email profile',
  response_type: 'token id_token',
  // 其他参数比如redirect_uri、state等按需添加
};

gapi.auth2.authorize(authParams, (response) => {
  if (response.error) {
    // 处理授权错误
    return;
  }
  // 解析id_token获取用户信息
  const payload = JSON.parse(atob(response.id_token.split('.')[1]));
  if (payload.email) {
    // 拿到邮箱，继续业务逻辑
  } else {
    // 提示用户重新授权并允许邮箱权限
  }
});

2. 强制用户确认权限（可选） #

如果你需要确保每次都能获取到邮箱，可以添加prompt: 'consent'参数，强制用户每次授权时都确认所有权限（包括邮箱），不过这会增加用户操作步骤，建议只在必要场景使用：

const authParams = {
  // 其他参数...
  prompt: 'consent'
};

3. 解析id_token验证字段 #

处理回调响应时，记得解析id_token的payload来确认是否包含邮箱。可以用atob方法（注意处理编码问题）或者专门的JWT解析库来解析，payload里的email字段就是用户邮箱，email_verified字段可以验证邮箱是否已被Google验证。

内容的提问来源于stack exchange，提问作者mesqueeb