访问令牌过期后 Google API 请求无效

Question

This 是让我提出这个问题的评论。

我有一个使用 googleapis 包的服务器端 Node.js 应用程序。用户使用他们的 Google 帐户登录，我将令牌存储在他们的会话中。我得到的凭据如下

{ access_token: '<AN ACCESS TOKEN>',
  token_type: 'Bearer',
  id_token: '<A LONG ID TOKEN>',
  expiry_date: <A TIMESTAMP> } // why do some places say there's an expires_in instead of this

没有refresh_token，因为用户已经第一次登录并点击了接受，我没有存储刷新令牌（看起来我应该存储）。

因此，当到达expiry_date 时，如果用户尝试请求我们将某些内容保存到他们的谷歌驱动器，我会收到一条错误消息：

{ [Error: invalid_request] code: 400 } // ...no further details

我的两部分问题：

• 我假设我收到该错误消息是因为我的 OAuth 客户端对象中的 access_token 已过期（因为在令牌过期之前调用工作正常）。它是否正确？为什么错误信息没有更详细？

• 在顶部的链接答案中，解决方案是再次强制接受提示，获取刷新令牌并永久存储，并在过期时使用它来获取新的访问令牌。为什么这比仅检查令牌是否过期以及在我们想要调用 API 时让用户重新进行身份验证更好？确保我的登录用户始终可以调用驱动器 API 以保存其文档的“正确”方式是什么？

Answer 1

1. 没错，400 响应是因为访问令牌过期。我不确定为什么 Google 不提供更多详细信息，但服务通常使用400 状态代码来指示某种凭据问题。状态码的definition 表示这是客户端问题。

2. 这两种方法都行得通，它们各有优缺点。您建议的客户端重新身份验证方法具有使实现更简单的优点，因为您不必存储刷新令牌并且不必实现刷新过程。不利的一面是，强制用户每小时重新进行身份验证对用户不太友好。至少他们将被重定向离开您的应用程序，并且他们可能还必须显式登录或重新授权。您只需要权衡取舍，然后选择最适合您的用例。