使用 OAuth 授权和令牌存储实现安全的 Google API 访问

在当今互联的数字世界中，能够轻松集成第三方服务的应用为用户带来了卓越体验。无论你是在构建生产力套件、AI agent，还是文档协作平台，安全访问并利用 Google、GitHub、Facebook 等 API 的能力，都能让你的应用从“不错”升级为“不可或缺”。

今天，我们将探索 Logto 的 Secret Vault 和 Social Connector 能力，帮助你打造一个集成 Google API 的智能生产力应用。我们将演示安全令牌存储、为 AI 获取访问令牌、递增授权，以及与第三方服务的无缝集成。

挑战：构建智能日历助手#

假设你正在开发一个“智能日历助手”，一个可以智能管理用户日程的应用。你的应用需要完成如下任务：

1. 基础认证：用户通过 Google 账号登录访问应用。
2. 个人信息管理：展示用户的基础资料信息。
3. 日历集成：读取日历事件，提供日程洞察。
4. 高级功能：创建日历事件、通过 Gmail 发送会议邀请、管理 Google Drive 文档，且仅在用户明确请求这些高级功能时才开放。

难点在哪里？你需要在不同时间获取 Google API 的不同授权级别，还必须安全存储令牌，确保持续的 API 操作，同时避免频繁要求用户重新认证。

解决方案：Logto 的递增授权与 Secret Vault#

Logto 的方案优雅地解决了这一难题：

• 最小初始权限：登录时只请求必要权限。
• 递增授权：按需为高级功能请求额外权限。
• 安全令牌存储：在加密的 Secret Vault 中安全存储与管理访问/刷新令牌。
• 自动令牌刷新：令牌过期时自动无感刷新。

下面一步步演示完整实现流程。

步骤 1：用基础 scopes 配置 Google connector#

首先，在 Logto 控制台创建并配置 Google connector。初始化时，设置最小 scopes 以完成基础认证：

参考 Google API Library 以及 OAuth 2.0 scopes 官方文档 以查找你应用所需 scopes。

关键配置步骤：

1. 在 Google Cloud Console 创建 Google OAuth 客户端，勾选应用所需所有 scopes。
2. 在 Logto Google connector 配置页面输入你的客户端凭证，在 Scopes 字段中添加上述基础 scopes。
3. 启用 存储令牌以持久访问 API 选项。
4. 在 Prompts 中加入 consent 且开启 离线访问（Offline Access），保证发放刷新令牌。

更多细节见 Logto 文档：Google connector 配置方法。

上述配置让用户登录后，你的应用获得读取日历事件的权限，非常适合提供基础日程洞察。

步骤 2：实现登录流程#

前往 Logto > 登录体验 > 注册与登录，在社交登录部分添加 Google connector，让用户可以用 Google 账号认证。

用户通过 Google 登录后，Logto 将自动：

• 按配置 scopes 认证用户。
• 把访问和刷新令牌安全地存入 Secret Vault。
• 把用户资料信息返回你的应用。

此时令牌已经被安全存储并与用户的 Google 身份绑定，随时可以发起 API 调用。

步骤 3：利用已存储令牌访问 Google API#

要读取用户的日历事件，只需获取已存储的访问令牌并调用 Google Calendar API：

Logto 会自动处理令牌刷新。如果 access token 已过期且存在 refresh token，Logto 将无感获取新的 access token。

步骤 4：为高级功能递增授权#

当用户希望体验高级功能（如创建日历事件或访问 Gmail）时，调用 Logto Social Verification API 以请求新 scopes：

用户授予新权限后，完成验证并更新已存储 token：

现在你的应用就可以用新 scope 创建日历事件、发送邮件等操作了。

步骤 5：管理令牌状态#

Logto 控制台提供完善的令牌管理能力。前往 用户管理 > 选择用户 > 社交账号关联 查看：

• 令牌状态：活跃、已过期、失效或不可用
• 令牌元数据：创建时间、最近更新时间、过期时间、已授权 scopes
• 连接管理：查看从 Google 同步的资料信息

这些可视化信息帮助管理员了解用户账号连接状态并排查所有令牌相关问题。

不止 Google：丰富的第三方集成#

你可以将智能日历助手扩展为支持更多服务的多功能应用。常用社交连接器有 Google（用于认证、日历和 Gmail 集成）、GitHub（用于代码仓库/问题管理）、Facebook（用于社交和营销洞察）。更多预置连接器即将上线，支持令牌存储能力。

对于自定义集成，Logto 提供了灵活的 OIDC 或 OAuth 2.0 连接方案。这个丰富的生态系统让你几乎能和公司日常用到的所有第三方服务对接。

安全性与最佳实践#

Logto Secret Vault 采用企业级安全设计：

• 单令牌集加密：每组令牌使用独立的数据密钥（DEK）加密
• 密钥包裹（Key Wrapping）：DEK 被密钥加密密钥（KEK）所加密
• 最小暴露：只有在发起 API 调用时才会解密令牌
• 自动清理：删除社交账号或 connector 时，自动清除相应令牌

总结#

Logto 是面向开发者的友好认证平台，让你能安全集成丰富第三方服务。

凭借 Logto 的递增授权与安全令牌存储，你的智能日历助手在功能和安全之间实现了完美平衡。用户仅需一次认证便可流畅上手基础功能，探索更高级场景时，则通过无缝权限提升自然解锁新能力。

持久化安全令牌让 API 操作持续进行，无需频繁中断用户重认证，赋能专业流畅的体验。整套系统安全为先，采用企业级加密，保障用户凭据和信任。

想亲手集成第三方 API 吗？你可以按如下方式开始：

1. 创建 Logto 项目：注册 Logto 实例并 配置第一个社交 connector
2. 启用令牌存储：在 connector 设置中启用“持久存储令牌访问 API”
3. 实现递增授权：通过 Social Verification API 实时请求 scopes
4. 持续扩展：利用 Logto 丰富的 connector 生态集成更多服务提供商

应用开发的未来属于服务无缝集成。用 Logto Secret Vault 和 Connectors，你就拥有了打造真正服务互联的现代应用的所有工具。

还想玩得更深入？参考我们的 集成指南，今天就开启你的下一个互联应用之旅吧。