Google Drive API同时访问“在线”和“离线”

Question

这是我之前问题的后续：如何从远程服务器访问Google Drive应用程序数据？

我有一个需要访问Google Drive AppFolder的应用程序，包括客户端（在线、JavaScript）和服务器端（离线、Python）。我的应用程序是独一无二的，因为客户端和服务器可能无法通过原始身份验证进行通信。

因此，我使用下面的代码来获取服务器的auth令牌(启动客户端):

gapi.auth.authorize({
        'client_id': CLIENT_ID,
        'scope': SCOPES,
        'access_type': 'offline',
        'response_type': 'code',
        'state': 'my_state',
        }, null, 2),
        'redirect_uri': 'http://server/oauth2callback',
        'immediate': false
    },
    handleOfflineAuthResult);

服务器存储包括刷新令牌在内的凭据。

然后，客户端(在随后的用户会话中)直接向Google Drive发送令牌请求:

gapi.auth.authorize({
                    'client_id': CLIENT_ID,
                    'scope': SCOPES,
                    'immediate': true
                }, handleAuthResult);

当客户这样做的时候 <罢工> 它获得一个刷新令牌，但使服务器的refresh_token无效 。因此，我的服务器不能再刷新它的令牌，并得到“accesstokenrefresh error:invalid _ grant”。

假设客户端和服务器无法通过原始身份验证进行通信（即，客户端不能直接向服务器请求其auth_token，这是设计的），是否有任何方法可以解决此问题？

我想到的唯一“解决方案”是让客户端将其auth_token和refresh_token存储在AppFolder中，服务器不断拉动AppFolder以获取新凭据，随后用客户端替换其副本。

Answer 1

你说

当客户端这样做[调用gapi.auth.authorize]时，它会获得一个刷新令牌，但会使服务器的refresh_token无效

至少第一部分是不正确的，我怀疑第二部分也是。gapi.auth.authorize返回访问令牌，而不是刷新令牌（见https://developers.google.com/api-client-library/javascript/reference/referencedocs#OAuth20TokenObject）。

我非常怀疑为客户端请求访问令牌会使服务器的刷新令牌失效。如果您 100% 确定它是，则应为每个 JS 和 Web 客户端应用程序使用单独的客户端 ID。请注意，JS 客户端永远不会使用刷新令牌，因为这将是一个主要的安全漏洞。JS 客户端始终根据需要从您的服务器或 Google 请求访问令牌。