google oauth2 默认每次登录都弹出授权确认页，根本原因在于未复用有效的访问令牌（access token）或刷新令牌（refresh token）。通过本地持久化并校验令牌有效性，可确保用户仅首次登录需授权，后续自动静默续期。
在使用 golang/oauth2 库实现 Google 登录时，关键误区是每次请求都生成全新授权 URL 并忽略已有令牌状态。即使 approval_prompt=auto（默认值），只要未向 OAuth2 配置传入有效的 *oauth2.Token，Google 服务端就无法识别用户已授权上下文，从而强制触发权限确认流程。
正确做法是：在应用启动时尝试加载并复用本地缓存的令牌，并利用 oauth2.Config.TokenSource() 自动处理刷新逻辑。示例实现如下：
import (
"context"
"os"
"golang.org/x/oauth2"
"golang.org/x/oauth2/google"
)
var tokenFile = "google_token.json"
func loadToken() (*oauth2.Token, error) {
data, err := os.ReadFile(tokenFile)
if err != nil {
return nil, err
}
return oauth2.TokenFromJSON(data)
}
func saveToken(t *oauth2.Token) error {
data, err := t.MarshalJSON()
if err != nil {
return err
}
return os.WriteFile(tokenFile, data, 0600)
}
func getTokenConfig() *oauth2.Config {
return &oauth2.Config{
ClientID: "your_client_id",
ClientSecret: "your_client_secret",
RedirectURL: "http://localhost:8080/callback",
Scopes: []string{
"https://www.googleapis.com/auth/userinfo.email",
"https://www.googleapis.com/auth/userinfo.profile",
},
Endpoint: google.Endpoint,
}
}
func getValidToken(ctx context.Context) (*oauth2.Token, error) {
cfg := getTokenConfig()
// 尝试加载已有令牌
tok, err := loadToken()
if err == nil && !tok.Expired(ctx) {
return tok, nil
}
// 若无有效令牌，则走完整授权流程（仅首次或过期后）
authURL := cfg.AuthCodeURL("state", oauth2.AccessTypeOffline, oauth2.ApprovalForce)
// → 用户访问 authURL 完成授权，获取 code 后调用 cfg.Exchange(...)
// （此处省略 HTTP handler 实现，重点在 token 复用逻辑）
// 假设已获得 code
// tok, err = cfg.Exchange(ctx, code)
// if err != nil { return nil, err }
// saveToken(tok) // 持久化新令牌
return tok, err
}⚠️ 关键注意事项：
- 必须使用 oauth2.AccessTypeOffline 获取 refresh_token（仅首次授权返回），否则无法长期静默刷新；
- approval_prompt=force 仅应在调试或强制重新授权时显式设置，生产环境应避免；
- 令牌文件需设为私有权限（如 0600），防止敏感凭据泄露；
- 使用 cfg.TokenSource(ctx, tok) 可自动处理过期刷新，无需手动判断 Expired() 后再调用 Exchange()。
总结：Google 不像 GitHub 那样“记住”客户端授权，它依赖 OAuth2 流程中传递的有效令牌上下文。真正的“免重复授权”，不靠 URL 参数控制，而靠令牌生命周期管理——缓存、校验、自动刷新，三者缺一不可。
