OAuth 2.0 實作：一次搞懂 Google 登入背後在做什麼

幾乎所有 SaaS 產品都有 Google 或 GitHub 登入，Vibe Coder 做產品必然會遇到，弄懂一次就永遠會了。但 OAuth 有很多安全細節，AI 生的程式常常漏掉 state 參數、沒有驗證 Token 簽名、沒有處理 Token 過期，這些都要你主動把關。

這一課走完完整的 Authorization Code Flow，以 Google 為例，學會之後 GitHub、LINE、Facebook 的流程都能舉一反三，只是 URL 和欄位名稱不同而已。

OAuth 2.0 四種授權流程

Authorization Code Flow 實作：以 Google 為例

第一步是準備工作，在 Google Cloud Console 建立專案，啟用 Google Identity，建立 OAuth 2.0 Credentials 取得 Client ID 和 Client Secret 存入環境變數，並設定 Redirect URI，也就是回調 URL。

from authlib.integrations.starlette_client import OAuth
import os

oauth = OAuth()
oauth.register(
    name="google",
    client_id=os.getenv("GOOGLE_CLIENT_ID"),
    client_secret=os.getenv("GOOGLE_CLIENT_SECRET"),
    server_metadata_url="https://accounts.google.com/.well-known/openid-configuration",
    client_kwargs={"scope": "openid email profile"},
)

# 路由一：把使用者導到 Google
async def login(request):
    redirect_uri = "http://localhost:8000/auth/callback"
    return await oauth.google.authorize_redirect(request, redirect_uri)

# 路由二：Google 回調後取得 Token
async def callback(request):
    token = await oauth.google.authorize_access_token(request)
    user = token.get("userinfo")
    return {"email": user["email"], "name": user["name"]}

Token 的生命週期

import requests, time

def get_valid_token(stored_token):
    # 檢查 Access Token 是否快過期
    if stored_token["expires_at"] - time.time() < 300:
        # 距離過期不足 5 分鐘，先 refresh
        r = requests.post("https://oauth2.googleapis.com/token", data={
            "grant_type": "refresh_token",
            "refresh_token": stored_token["refresh_token"],
            "client_id": CLIENT_ID,
            "client_secret": CLIENT_SECRET,
        })
        new_token = r.json()
        stored_token.update(new_token)
    return stored_token["access_token"]

常見錯誤與排查

AI 實作 OAuth 的注意事項

• state 參數：防止 CSRF 攻擊，AI 常常漏掉。要求 AI 在授權 URL 加上隨機的 state 參數，回調時驗證是否一致。
• PKCE：公開客戶端，也就是沒有後端的情況，需要的額外安全機制，AI 做純前端 App 時要求加上 PKCE。
• Scope 最小化：只申請你真正需要的權限，不要申請完整 Drive 存取，只申請讀取範圍就好。
• 不要在前端存 Refresh Token：Refresh Token 有效期很長，一旦洩漏影響很大，只存在後端資料庫並加密。