GET /auth/google/callback

Endpoint chamado pelo Google após o usuário autorizar a aplicação. Não chame este endpoint manualmente — só o Google deve atingi-lo.

Recebe ?code=<authorization_code>&state=<jwt> na query string. O state JWT carrega o modo do fluxo (login vs link). O endpoint:

1. Verifica state JWT (se inválido/expirado → redireciona com status=error&code=INVALID_STATE)
2. Troca code por tokens via Google (authorizationCodeGrant)
3. Busca userInfo (fetchUserInfo)
4. Decide entre login/criar conta (modo login) ou vincular Google (modo link)
5. Em qualquer caso, redireciona pro frontend com query string indicando o resultado

Sempre redireciona — nunca retorna JSON, nunca retorna erro HTTP. Erros viram ?status=error&code=... na URL.

Quando chamar

Não chame. Esse endpoint é registrado como redirect URI no Google OAuth client. O Google bate aqui automaticamente após autorização.

Request

Query string:

• code — authorization code do Google (single-use, expira em ~1 min)
• state — JWT que o /auth/google ou /auth/google/link assinou

Sem auth necessária — o state valida o fluxo.

Response

Sempre 302 Redirect pra ${FRONTEND_URL}/auth/callback?<query>.

A query string carrega o resultado:

E em sucessos de login (registered/logged-in/linked-login), o Set-Cookie: refreshToken=... também é retornado no header.

Erros

Sem respostas de erro documentadas.

Como o endpoint sempre redireciona, "erros" são repassados via ?status=error&code=... no query do frontend. O frontend então mostra mensagem apropriada.

Exemplos

curl -X GET 'http://localhost:3003/auth/google/callback' \
  -H 'Content-Type: application/json' \
  -H 'Authorization: Bearer SEU_ACCESS_TOKEN' \
  -d '{}'

await fetch('http://localhost:3003/auth/google/callback', {
  method: 'GET',
  headers: {
    'Content-Type': 'application/json',
    Authorization: 'Bearer ' + accessToken,
  },
  body: JSON.stringify({}),
})

Frontend — handler do callback

// página /auth/callback
const params = new URLSearchParams(window.location.search)
const status = params.get('status')
const token = params.get('token')

if (status === 'error') {
  const code = params.get('code')
  showError(code)  // ex: "Login com Google falhou. Tente novamente."
  return
}

if (token) {
  authStore.setAccessToken(token)  // refresh cookie já está setado pelo backend
  // limpa URL pra não vazar token em logs/referer:
  window.history.replaceState({}, '', '/dashboard')
  goToDashboard()
}

Side effects

Depende do modo e do estado:

Avatar do Google: copiado pra users.avatar_url apenas se o user ainda não tiver foto setada (no insert ou no link).

Sem notificação ou socket disparados.

Configuração no Google Cloud Console

• OAuth client tipo Web application
• Authorized redirect URI: ${APP_URL}/auth/google/callback (ex: http://localhost:3003/auth/google/callback em dev)
• Authorized JavaScript origins: opcional (Backend não usa direto, mas frontend pode precisar pra Google Sign-In tap)
• Scopes mínimos: openid email profile

Relacionados

• Endpoint: GET /auth/google — onde o fluxo começa (modo login)
• Endpoint: GET /auth/google/link — onde o fluxo começa (modo link)
• Endpoint: DELETE /auth/google/link — desvincular
• Conceito: Autenticação
• Módulo: Auth — sequence diagram completo
• Tabela: users — campos google_id, google_linked_at, avatar_url
• Tabela: refresh_tokens — sessão criada