Google OAuth2 避免重复授权提示的正确实现方式

google oauth2 默认每次登录都弹出授权确认页，根本原因在于未复用有效的访问令牌（access Token）或刷新令牌（refresh token）。通过本地持久化并校验令牌有效性，可确保用户仅首次登录需授权，后续自动静默续期。

在使用 golang/oauth2 库实现 google 登录时，关键误区是每次请求都生成全新授权 URL 并忽略已有令牌状态。即使 approval_prompt=auto（默认值），只要未向 OAuth2 配置传入有效的 *oauth2.Token，google 服务端就无法识别用户已授权上下文，从而强制触发权限确认流程。

正确做法是：在应用启动时尝试加载并复用本地缓存的令牌，并利用 oauth2.Config.TokenSource() 自动处理刷新逻辑。示例实现如下：

import (     "context"     "os"     "golang.org/x/oauth2"     "golang.org/x/oauth2/google" )  var tokenFile = "google_token.json"  func loadToken() (*oauth2.Token, error) {     data, err := os.ReadFile(tokenFile)     if err != nil {         return nil, err     }     return oauth2.TokenFromjson(data) }  func saveToken(t *oauth2.Token) error {     data, err := t.MarshalJSON()     if err != nil {         return err     }     return os.WriteFile(tokenFile, data, 0600) }  func getTokenConfig() *oauth2.Config {     return &oauth2.Config{         ClientID:     "your_client_id",         ClientSecret: "your_client_secret",         redirectURL:  "http://localhost:8080/callback",         Scopes: []string{             "https://www.googleapis.com/auth/userinfo.email",             "https://www.googleapis.com/auth/userinfo.profile",         },         Endpoint: google.Endpoint,     } }  func getValidToken(ctx context.Context) (*oauth2.Token, error) {     cfg := getTokenConfig()      // 尝试加载已有令牌     tok, err := loadToken()     if err == nil && !tok.Expired(ctx) {         return tok, nil     }      // 若无有效令牌，则走完整授权流程（仅首次或过期后）     authURL := cfg.AuthCodeURL("state", oauth2.accessTypeOffline, oauth2.approvalForce)     // → 用户访问 authURL 完成授权，获取 code 后调用 cfg.Exchange(...)     // （此处省略 HTTP handler 实现，重点在 token 复用逻辑）      // 假设已获得 code     // tok, err = cfg.Exchange(ctx, code)     // if err != nil { return nil, err }     // saveToken(tok) // 持久化新令牌      return tok, err }

⚠️ 关键注意事项：

• 必须使用 oauth2.AccessTypeOffline 获取 refresh_token（仅首次授权返回），否则无法长期静默刷新；
• approval_prompt=force 仅应在调试或强制重新授权时显式设置，生产环境应避免；
• 令牌文件需设为私有权限（如 0600），防止敏感凭据泄露；
• 使用 cfg.TokenSource(ctx, tok) 可自动处理过期刷新，无需手动判断 Expired() 后再调用 Exchange()。

总结：Google 不像 gitHub 那样“记住”客户端授权，它依赖 OAuth2 流程中传递的有效令牌上下文。真正的“免重复授权”，不靠 URL 参数控制，而靠令牌生命周期管理——缓存、校验、自动刷新，三者缺一不可。