Error: Token has been expired or revoked.

[paper2]

概要

OAuthのトークンリフレッシュに失敗する。

google.auth.exceptions.RefreshError: ('invalid_grant: Token has been expired or revoked.', {'error': 'invalid_grant', 'error_description': 'Token has been expired or revoked.'})

原因

• 外部向けかつテスト中の同意画面のままだと、リフレッシュトークンの期限切れが発生するため
  • 参考：　GCP の OAuth 2.0 grant_type=refresh_token で「Token has been expired or revoked.」が発生する場合の対処方法 - CData Software Blog

背景

• 2018年の実装当時からGoogleのセキュリティが強化された影響で認証方法を変更した。
  • Google Developers Japan: セキュリティが強化された OAuth フローで Google OAuth インタラクションの安全性が向上
  • OOBフローを利用していたが、廃止された。

[paper2]

方針

• 当リポジトリをアーカイブする

検討内容メモ

認証方法の検討

大きく以下３種類の認証方法が用意されている。それぞれで利用できるか検討した内容をメモする。

• API キー
• OAuth 2.0
• サービスアカウント

API キー

• 利用できなかった。
• 制限するスコープとして「Photos Library API」を選択できるが、実際にkeyを入れて利用してみるとエラーが発生。

googleapiclient.errors.HttpError: <HttpError 401 when requesting https://photoslibrary.googleapis.com/v1/mediaItems:search?key=Axxxxxxt=json returned "API keys are not supported by this API. Expected OAuth2 access token or other authentication credentials that assert a principal. See https://cloud.google.com/docs/authentication". Details: "[{'@type': 'type.googleapis.com/google.rpc.ErrorInfo', 'reason': 'CREDENTIALS_MISSING', 'domain': 'googleapis.com', 'metadata': {'method': 'google.photos.library.v1.PhotosLibrary.SearchMediaItems', 'service': 'photoslibrary.googleapis.com'}}]">

OAuth 2.0

• 本番アプリとして公開する必要がある。公開するためにはプライバシーポリシーを示したサイトなどの準備が必要。
• コールバック先のアプリなどの実装とかも必要。
• 実装のことや、維持費などを考慮して一旦保留。

サービスアカウント

• Photos Library APIの権限を付与できないため利用できない。