Google Apps Script Web App测试用户OAuth2状态令牌无效求助

核心问题本质 #

测试用户登录时触发的userCallback未完整执行，导致state令牌验证失败，根源在于测试用户与所有者的权限上下文隔离，引发状态存储或身份校验异常。

1. 修正OAuth2状态存储机制 #

OAuth2库默认用PropertiesService.getUserProperties()存储state令牌，但测试用户的用户属性空间与所有者完全独立，导致回调时找不到对应state。

• 解决方案：改用全局的PropertiesService.getScriptProperties()存储，同时用用户邮箱作为state的唯一标识前缀，避免冲突：

  // 生成授权URL时的state存储逻辑
  function getAuthUrl() {
    const userEmail = Session.getActiveUser().getEmail();
    const state = OAuth2.getRandomString();
    // 存储带用户标识的state
    PropertiesService.getScriptProperties().setProperty(`state_${userEmail}`, state);
    
    const service = OAuth2.createService('Google')
      .setAuthorizationBaseUrl('https://accounts.google.com/o/oauth2/auth')
      .setTokenUrl('https://accounts.google.com/o/oauth2/token')
      .setClientId(CLIENT_ID)
      .setClientSecret(CLIENT_SECRET)
      .setCallbackFunction('userCallback')
      .setScope('https://www.googleapis.com/auth/spreadsheets.readonly')
      .setState(state); // 传入生成的state
    
    return service.getAuthorizationUrl();
  }
  
  // 回调函数中的state验证逻辑
  function userCallback(request) {
    const userEmail = Session.getActiveUser().getEmail();
    const receivedState = request.parameter.state;
    const storedState = PropertiesService.getScriptProperties().getProperty(`state_${userEmail}`);
    
    if (!storedState || storedState !== receivedState) {
      return HtmlService.createHtmlOutput('<p>The state token is invalid or has expired. Please try again.</p>');
    }
    // 验证通过后删除已使用的state
    PropertiesService.getScriptProperties().deleteProperty(`state_${userEmail}`);
    
    // 后续授权逻辑...
    console.log(`Callback executed by: ${userEmail}`);
    return HtmlService.createHtmlOutput('<p>Login successful!</p>');
  }
  

2. 确认Web App部署权限 #

Web App必须设置为以访问用户身份运行，否则测试用户回调时会以开发者身份执行，但用户属性仍属于测试用户，导致state匹配失败：

• 部署步骤：发布 > 部署为Web应用 > 执行权限选择「访问该应用的用户」> 保存并重新部署

3. 检查测试用户的日志权限 #

测试用户的执行日志不会出现在所有者的日志列表中，需要让测试用户自行查看：

• 测试用户打开Google Apps Script编辑器 > 点击「查看」> 选择「执行日志」，确认userCallback是否被触发

4. 验证OAuth同意屏幕配置 #

确保测试用户已被正确添加到OAuth同意屏幕的「测试用户」列表，且账号无Google安全限制（如未启用两步验证、未被标记为风险账号）；G Suite用户需确认管理员未限制第三方OAuth应用访问。

5. 更新OAuth2库版本 #

使用最新版本的OAuth2 for Apps Script库（当前最新为v43），旧版本可能存在测试用户上下文的兼容性问题。

内容的提问来源于stack exchange，提问作者Santosh