Google 身份服务：如何在一小时后刷新 Google API 的 access_token？

Question

我已经实现了新的 Google Identity Services 来获取 access_token 来调用 Youtube API。 我尝试在 Angular 应用程序上使用它。

this.tokenClient = google.accounts.oauth2.initTokenClient({
  client_id: googleApiClientId,
  scope: 'https://www.googleapis.com/auth/youtube.readonly',
  callback: (tokenResponse) => {
    this.accessToken = tokenResponse.access_token;
  },
});

当我调用 this.tokenClient.requestAccessToken() 时，我可以获得一个访问令牌并使用 Youtube API，这是可行的。

但一个小时以后，此令​​牌过期。我有这个错误："Request had invalid authentication credentials."

如何为用户透明地获取新刷新的 access_token ？

Answer 1

Google 身份服务 (GIS) 库有 two authorization flows：

1. 的隐式流，仅在客户端使用 .requestAccessToken()
2. 的授权代码流程，它也需要后端（服务器端）并使用.requestCode()

   对于隐式流程（您正在使用的流程），没有刷新令牌。由客户端检测令牌过期并重新运行令牌请求流。以下是来自谷歌示例的一些示例代码，用于说明如何处理此问题：

   // initialize the client
   tokenClient = google.accounts.oauth2.initTokenClient({
       client_id: 'YOUR_CLIENT_ID',
       scope: 'https://www.googleapis.com/auth/calendar.readonly',
       prompt: 'consent',
       callback: '',  // defined at request time in await/promise scope.
   });
   
   // handler for when token expires
   async function getToken(err) {
     if (err.result.error.code == 401 || (err.result.error.code == 403) &&
         (err.result.error.status == "PERMISSION_DENIED")) {
   
       // The access token is missing, invalid, or expired, prompt for user consent to obtain one.
       await new Promise((resolve, reject) => {
         try {
           // Settle this promise in the response callback for requestAccessToken()
           tokenClient.callback = (resp) => {
             if (resp.error !== undefined) {
               reject(resp);
             }
             // GIS has automatically updated gapi.client with the newly issued access token.
             console.log('gapi.client access token: ' + JSON.stringify(gapi.client.getToken()));
             resolve(resp);
           };
           tokenClient.requestAccessToken();
         } catch (err) {
           console.log(err)
         }
       });
     } else {
       // Errors unrelated to authorization: server errors, exceeding quota, bad requests, and so on.
       throw new Error(err);
     }
   }
   
   // make the request
   function showEvents() {
     // Try to fetch a list of Calendar events. If a valid access token is needed,
     // prompt to obtain one and then retry the original request.
   
     gapi.client.calendar.events.list({ 'calendarId': 'primary' })
     .then(calendarAPIResponse => console.log(JSON.stringify(calendarAPIResponse)))
     .catch(err  => getToken(err))  // for authorization errors obtain an access token
     .then(retry => gapi.client.calendar.events.list({ 'calendarId': 'primary' }))
     .then(calendarAPIResponse => console.log(JSON.stringify(calendarAPIResponse)))
     .catch(err  => console.log(err));   // cancelled by user, timeout, etc.
   }
   

   不幸的是，GIS 不会像 GAPI 那样为您处理任何令牌刷新，因此您可能希望将您的访问包装在一些常见的重试逻辑中。

   重要的是状态代码将是401或403，状态将是PERMISSION_DENIED。

   您可以查看此示例的详细信息here，切换到异步/等待选项卡以查看完整代码。

Answer 2

要以对最终用户透明的方式刷新访问令牌，您必须使用刷新令牌，此令​​牌也将响应您的呼叫。

使用此令牌，您可以使用以下请求正文对 URL 进行 POST 调用：https://www.googleapis.com/oauth2/v4/token

client_id: <YOUR_CLIENT_ID>
client_secret: <YOUR_CLIENT_SECRET>
refresh_token: <REFRESH_TOKEN_FOR_THE_USER>
grant_type: refresh_token

刷新令牌永不过期，因此您可以多次使用它。响应将是这样的 JSON：

{
  "access_token": "your refreshed access token",
  "expires_in": 3599,
  "scope": "Set of scope which you have given",
  "token_type": "Bearer"
}

Answer 3

@victor-navarro 的回答是正确的，但我认为 URL 是错误的。 我用这样的身体向 https://oauth2.googleapis.com/token 发出了一个 POST 调用，它对我有用：

client_id: <YOUR_CLIENT_ID>
client_secret: <YOUR_CLIENT_SECRET>
refresh_token: <REFRESH_TOKEN_FOR_THE_USER>
grant_type: refresh_token