Google Calendar刷新令牌过期/吊销后如何生成及生命周期查询

Hey there! Let me break down these questions for you — I’ve dealt with exactly these scenarios in past projects, so here’s what I know from hands-on experience:

一、Refresh Token 失效（吊销/过期）后，如何生成新的？ #

一旦Refresh Token失效，必须重新引导用户完成OAuth 2.0授权流程——这是唯一可行的办法，因为Refresh Token是用户主动授权后Google才会发放的敏感凭证。具体操作步骤：

• 构建授权URL时，一定要带上 access_type=offline 参数，这是获取Refresh Token的核心前提，没有它Google只会返回短期的Access Token，不会下发Refresh Token。
• 将用户引导到这个授权URL，让用户登录Google账号并确认授权你的应用访问Calendar数据。
• 授权成功后，Google会返回新的Access Token和Refresh Token，你需要把新的Refresh Token加密存储到安全位置（比如加密数据库），后续用来刷新Access Token。

小技巧：如果是同一个用户重复授权，默认情况下Google可能不会返回新的Refresh Token。如果需要强制获取新的，在授权URL里追加 prompt=consent 参数，这样即使用户之前授权过，也会再次弹出授权确认框，确保你能拿到全新的Refresh Token。

二、Refresh Token 什么时候会过期？ #

Google的Refresh Token过期规则分两类账号场景：

• 个人Google账号：
  • 用户主动在Google账号的「安全设置」→「第三方应用访问」里撤销了对你应用的授权；
  • Refresh Token连续6个月没有被使用（Google会自动吊销这类闲置的Refresh Token）；
  • 用户更改了Google账号密码，且你的应用被判定为安全等级不足（不过现在这个场景已经很少见，主要看OAuth流程的合规性）。
• G Suite/Workspace 企业账号：
  • 企业管理员可以自定义设置Refresh Token的有效期（比如永久有效或固定时长）；
  • 管理员撤销了应用的访问权限，或者用户的账号被禁用，都会导致Refresh Token直接失效。

三、怎么查询Refresh Token的有效期？ #

很遗憾，Google并没有提供直接查询Refresh Token剩余有效期的API。不过我们可以通过两种方式间接处理，提前规避失效问题：

• 监控刷新请求的错误返回：当你调用 POST https://oauth2.googleapis.com/token 接口用Refresh Token刷新Access Token时，如果返回 invalid_grant 错误，就说明Refresh Token已经失效，此时立刻触发重新授权流程即可。
• 主动记录使用时间并续期：对于个人账号，因为6个月闲置会失效，建议在存储Refresh Token时，同时记录它的最后使用时间。当距离最后使用时间接近6个月（比如提前一周），主动调用一次刷新接口——每次使用Refresh Token刷新Access Token，都会重置它的6个月有效期，相当于给Refresh Token续期了。

额外实践建议 #

• 始终确保你的OAuth请求包含 offline 权限，这是获取Refresh Token的基础；
• Refresh Token是敏感凭证，一定要加密存储，绝对不能明文暴露在前端或日志里；
• 遇到 invalid_grant 错误时，不要无限重试，直接引导用户重新授权，避免触发Google的限流机制。

内容的提问来源于stack exchange，提问作者Rakesh P.