Rails 4-带有omniauth-google-oauth2的Google一次性代码流，不断获取“无效代码”

Question

我有一个Rails应用程序，我希望用户能够在其中登录/注册Google。 我正在使用以下宝石：

#gemfile
gem 'omniauth-google-oauth2'

我几乎可以正常工作了（我实际上只收到一次访问令牌，不知道为什么）-但是在获取access_token之前，我经常遇到以下错误：

"error"=>"invalid_grant", "error_description"=>"Invalid code."

我已经检查过了，以便每个请求的代码都是唯一的，并且它不是nil。 收到一次性授权代码后，我尝试获取access_token的方法的相关部分如下所示：

def google_authentication
  respond_to do |format|
    # authorisation code

    code = params[:code]
    unless code.blank?

      client_id = ENV["GOOGLE_CLIENT_ID"]
      client_secret = ENV["GOOGLE_CLIENT_SECRET"]
      redirect_uri = 'postmessage'
      grant_type = 'authorization_code'

      load = {client_id: client_id, client_secret: client_secret,  redirect_uri: redirect_uri, grant_type: grant_type, code: code}
      payload = load.to_json
      url = "https://www.googleapis.com/oauth2/v3/token"
      response = HTTParty.post(url, :query => load)

      json = JSON.parse(response.body)

      unless json.nil?
        unless json[:error].present?
          # TODO: Handle data      
          format.json { render :json => {:message => "Success"} }              
        else
          # ERROR "Invalid code" always happen
        end
      end
    end
  end
end

在Google开发人员控制台中，我具有以下凭据：

Client ID           [CLient ID]
Email address       [Email]
Client secret       [Secret]
Redirect URIs       http://127.0.0.1:3000/
JavaScript origins  http://127.0.0.1:3000

感谢任何想法或技巧。

更新完成

这是我设置omniauth-google-oauth2的方法：

Rails.application.config.middleware.use OmniAuth::Builder do
  provider :google_oauth2, ENV["GOOGLE_CLIENT_ID"],  ENV["GOOGLE_CLIENT_SECRET"],
    {
      :scope => "email, profile",
      :prompt => "select_account",
      :provider_ignores_state => true
    }
end

更新2

如上所述，我曾经设法获得访问令牌一次，然后又设法重现了它。 我通过单击登录按钮三次来做到这一点。

"error"=>"invalid_grant", "error_description"=>"Invalid code."

第二次点击导致：

"error"=>"invalid_grant", "error_description"=>"Code was already redeemed."

第三次，我成功获取了access_token 。 我有时有时会获得access_token ，这真的很奇怪，但是大多数时候都会得到：

"error"=>"invalid_grant", "error_description"=>"Invalid code."

而且成功/错误的“比率”不是100％一致的。 有时需要超过三下单击。 我感到很奇怪，它有时可以工作，有时会得到不同的错误响应，而无需更改代码中的任何内容。

可能与代码的时间/到期日期有关吗？

更新3

额外完成。 这是用户单击Google登录按钮时我的Javascript（或Cof​​feeScript）的样子：

$(document).ready ->
  $.ajax
    url: 'https://apis.google.com/js/client:plus.js?onload=gpAsyncInit'
    dataType: 'script'
    cache: true


window.gpAsyncInit = ->
  $('.googleplus-login').click (e) ->
    e.preventDefault()
    gapi.auth.authorize {
      immediate: false
      response_type: 'code'
      cookie_policy: 'single_host_origin'
      client_id: '[id]'
      scope: 'email profile'
    }, (response) ->
      if response and !response.error

        jQuery.ajax
          type: 'POST'
          url: '/auth/google_oauth2/callback'
          dataType: 'json'
          data: response
          success: (json) ->
            # response from server
            console.log "JSON: " + json
            return
      else
        # google authentication failed

Answer 1

对于红宝石部分，我无法解决，但也许可以帮助您找出问题所在。

实际上，Google的身份验证服务器返回了3个代码。 授权代码，访问令牌和刷新令牌。

• 授权代码只能使用一次才能获得第一个刷新令牌。
• 用于访问api上数据的访问令牌会在一个小时后过期。
• 刷新令牌，用于在过期时获取新的访问令牌。 直到用户删除访问权限为止。

授权码

这是当用户点击接受您的应用程序时返回的代码。

例：

将此URI中的客户端ID，密码和范围更改为您正在使用的客户端ID，密码和范围。 然后将其粘贴到浏览器位置栏中。

https://accounts.google.com/o/oauth2/auth?client_id={clientid}.apps.googleusercontent.com&redirect_uri=urn:ietf:wg:oauth:2.0:oob&scope={scope}&response_type=code

它将提示您进行身份验证。 如果单击，则会出现另一个带有长代码的窗口，看起来像这样。

这就是身份验证代码，其唯一的目的就是让您使用它来获取访问令牌和刷新令牌。 它只能使用一次 ，虽然我从未测试过它们适合使用多长时间，但它可能寿命很短。

在上面的uri中注意：响应类型代码。

交换：

获得该验证码后，您需要将其交换为访问令牌和刷新令牌。 这是HTTP POST，因此不能放在浏览器窗口中。

https://accounts.google.com/o/oauth2/token
code=4/X9lG6uWd8-MMJPElWggHZRzyFKtp.QubAT_P-GEwePvB8fYmgkJzntDnaiAI&client_id={ClientId}.apps.googleusercontent.com&client_secret={ClientSecret}&redirect_uri=urn:ietf:wg:oauth:2.0:oob&grant_type=authorization_code

注意：grant_type = authorization_code告诉服务器您正在向其发送授权码。

响应

{
"access_token" : "ya29.1.AADtN_VSBMC2Ga2lhxsTKjVQ_ROco8VbD6h01aj4PcKHLm6qvHbNtn-_BIzXMw",
"token_type" : "Bearer",
"expires_in" : 3600,
"refresh_token" : "1/J-3zPA8XR1o_cXebV9sDKn_f5MTqaFhKFxH-3PUPiJ4"
}

现在，您有了一个可用于访问Google API的访问令牌，该令牌的寿命很短，仅持续3600秒或1个小时。 之后，您必须使用刷新令牌才能再次访问。

使用refreshtoken

https://accounts.google.com/o/oauth2/token
client_id={ClientId}.apps.googleusercontent.com&client_secret={ClientSecret}&refresh_token=1/ffYmfI0sjR54Ft9oupubLzrJhD1hZS5tWQcyAvNECCA&grant_type=refresh_token

响应

{
"access_token" : "ya29.1.AADtN_XK16As2ZHlScqOxGtntIlevNcasMSPwGiE3pe5ANZfrmJTcsI3ZtAjv4sDrPDRnQ",
"token_type" : "Bearer",
"expires_in" : 3600
}

现在您已经了解了所有这些

"error"=>"invalid_grant", "error_description"=>"Code was already redeemed."

表示您要再次发送授权码，则只能在应该再次发送刷新令牌时使用它。 您的身份验证流程有问题。 再次抱歉，我无法帮助红宝石部分。

代码从Google 3的oauth2流中剥离出来

Answer 2

因此...如其写道：

授权的重定向URI每行一个URI。 需要具有协议，没有URL片段和相对路径。 不能是公共IP地址。

您的设置：

重定向URI http://127.0.0.1:3000/ JavaScript起源http://127.0.0.1:3000/

...是错的。

它应该是：

重定向URI： http：//my.true.domain/users/auth/google/callback

和

 provider :google_oauth2, ENV["GOOGLE_CLIENT_ID"],  ENV["GOOGLE_CLIENT_SECRET"],
    {
      :scope => "email, profile",
      :name => "google",
      ...

希望对您有所帮助！