Google OAuth返回附加作用域而不请求

Question

我用谷歌的oauth进行了测试，并尝试了不同的范围。

然而，我随后将我的范围请求简化为以下内容：“https://www.googleapis.com/auth/userinfo.email”

以下是dotnetcore的更多内容

  Dictionary<string, string> queries = new Dictionary<string, string>();
            queries.Add("scope", "https://www.googleapis.com/auth/userinfo.email");
            queries.Add("access_type", "offline");
            queries.Add("include_granted_scopes" ,"true");
            queries.Add("response_type", "code");
            queries.Add("state", "state");
            queries.Add("redirect_uri", "http://localhost:5000/api/authenticate/googauth");
            queries.Add("client_id", _clientId);
            queries.Add("prompt", "consent");

            UriBuilder builder = new UriBuilder();
            builder.Host = "accounts.google.com";
            builder.Scheme = "https";
            builder.Path = "o/oauth2/v2/auth";
            //builder.Query = ""

            foreach (var query in queries)
            {
                if (string.IsNullOrEmpty(builder.Query))
                {
                    builder.Query += $"{query.Key}={query.Value}";
                }
                else
                {
                    builder.Query += $"&{query.Key}={query.Value}";
                }
            }

            var redirectUri = builder.Uri.ToString();

            return Redirect(redirectUri);

然后从返回的代码中检索访问令牌等。

   Dictionary<string, string> values = new Dictionary<string, string>();
            values.Add("code", code);
            values.Add("client_id", _clientId);
            values.Add("client_secret",_clientSecret);
            values.Add("redirect_uri", "http://localhost:5000/api/authenticate/googauth");
            values.Add("grant_type", "authorization_code");

            var client = new HttpClient();
            var result = await client.PostAsync("https://oauth2.googleapis.com/token", new FormUrlEncodedContent(values));
            var content = await result.Content.ReadAsStringAsync();
            var convertedContent = JsonSerializer.Deserialize<GoogleAccesstoken>(content);

然而，我得到的似乎比我要求的要多。我在返回的范围中得到这个：

openidhttps://www.googleapis.com/auth/user.gender.read https://www.googleapis.com/auth/userinfo.profile https://www.googleapis.com/auth/userinfo.email https://www.googleapis.com/auth/user.birthday.read

我尝试过使用隐姓埋名和不同的浏览器，它们都返回相同的东西（认为这可能是缓存问题）。

有人能帮我吗？

谢谢。

Answer 1

使应用程序能够使用增量授权来请求对上下文中其他作用域的访问。如果您将此参数的值设置为true，并且授权请求被授予，那么新的访问令牌还将覆盖用户之前授予应用程序访问权限的任何范围。有关示例，请参见增量授权部分。

摘自谷歌文档：https://developers.google.com/identity/protocols/oauth2/web-server

基本上意味着用户之前已经授予您其他作用域。可能是通过登录屏幕或使用相同clientId的东西