Google SSO多租户OAuth冲突：包名与SHA-1重复问题求助

核心问题原因 #

Google OAuth的校验规则是包名+SHA-1组合全局唯一，无法在不同Google Cloud项目中重复创建对应的Android OAuth客户端，这是你遇到报错的根本原因。以下是满足需求的可行方案：

方案1：同一Cloud项目内创建多Web OAuth客户端（推荐） #

这是最直接且符合Google规则的方案：

• 在单个Google Cloud项目中，创建1个Android类型的OAuth客户端，填入共用的包名和SHA-1（这是唯一的，避免重复报错）
• 为每个客户端的Web应用，在同一个项目下创建独立的Web应用类型的OAuth客户端
• 对每个Web OAuth客户端，进入配置页的「已授权的Android应用」模块，添加刚才创建的Android客户端的包名和SHA-1（同一项目内允许重复关联）
• 每个客户端的Web应用使用各自的Web OAuth客户端ID，移动端登录时，Google会校验包名+SHA-1是否在该Web客户端的允许列表中，由于已关联统一的Android配置，校验会正常通过

此方案的优势是：每个客户端拥有独立的OAuth客户端ID、可单独配置授权范围/重定向URI，完全满足主管要求，同时规避了跨项目重复的问题。

方案2：通过Digital Asset Links关联跨项目客户端（复杂度较高） #

如果必须使用独立的Google Cloud项目，可通过数字资产链接实现关联：

• 在主Cloud项目中创建唯一的Android OAuth客户端（对应共用包名+SHA-1）
• 每个客户端的独立项目中创建Web OAuth客户端，然后在移动端的assetlinks.json文件中，添加所有客户端Web应用的域名（或让每个客户端的Web应用单独配置assetlinks.json，指向主项目的Android客户端）
• 确保Google能验证assetlinks.json的有效性（文件需放置在Web应用域名的.well-known目录下）

注意：此方法需要额外的配置和验证步骤，维护成本较高，仅在必须使用独立项目时考虑。

方案3：移动端动态切换OAuth客户端ID #

如果移动端可做少量适配：

• 所有Web OAuth客户端都在同一Cloud项目下创建，并关联统一的Android包名+SHA-1
• 移动端登录时，根据当前客户端的标识（比如从后端获取对应客户端的OAuth ID），动态使用对应的客户端ID发起授权请求
• 此方式无需修改包名或SHA-1，仅需移动端支持多客户端配置切换

关键注意事项 #

• 不要尝试跨项目重复创建Android OAuth客户端，这违反Google的全局唯一性规则，无法绕过
• 每个Web OAuth客户端的重定向URI必须唯一且合法，避免授权回调时出现冲突
• 测试阶段需验证每个客户端的授权流程，确保校验逻辑正常

内容的提问来源于stack exchange，提问作者Luqman