近期，不少基于 PySide6 和 QtWebEngine 开发桌面应用的开发者遭遇了一个棘手问题：在应用内嵌的浏览器中尝试登录 Google 账户时，页面弹出了“此浏览器或应用可能不安全”（This browser or app may not be secure）的红色警告，导致登录流程中断。这一现象并非偶然，而是 Google 安全策略升级后对非标准浏览器环境的“精准拦截”。本文将深入分析问题根源，并给出切实可行的认证方案。

问题重现：熟悉的警告，陌生的环境

PySide6 是 Qt 框架的 Python 绑定，其 QtWebEngine 模块允许开发者在桌面应用中嵌入完整的 Chromium 内核浏览器。许多应用利用这一特性实现“一站式”服务，例如内置 Google 地图、Gmail 客户端或 OAuth 授权登录。然而，当用户点击 Google 登录按钮时，嵌入式浏览器会展示上述安全警告，并拒绝继续执行登录操作——即便用户输入正确的账号密码也无法绕过。

根源剖析：Google 的“二阶段安全检测”

Google 早在 2021 年就全面停止了简易的“用户名+密码”认证，转而要求所有登录行为必须通过其 OAuth 2.0 协议，并强制使用“安全浏览器”或原生应用。其安全检测机制主要依赖两点：

  1. 浏览器指纹与用户代理（User-Agent）：QtWebEngine 默认的用户代理字符串与主流浏览器（Chrome、Edge）存在差异，且常缺少某些安全特性标识。Google 通过比对用户代理、Canvas 指纹、WebDriver 标志等，认定嵌入式 WebView 为“非安全环境”。
  2. OAuth 重定向绑定：Google 的 OAuth 端点会验证 redirect_uri 是否匹配已注册的合法回调地址。嵌入式浏览器通常无法注册一个“真实 web 服务器”的回调 URI，导致授权码无法安全传递，从而被判定为中间人攻击风险。

简言之，Google 将嵌入式 WebView 视为“不可信的自动化客户端”，拒绝授予其登录权限。

解决方案：绕开 WebView，拥抱系统浏览器

既然嵌入式浏览器本身被视为“不安全的 app”，最直接的思路就是将登录流程迁移到操作系统原生的、受信任的浏览器中执行。以下是三种经过验证的方案：

方案一：系统浏览器 OAuth 流程（推荐）

这是最符合 Google 安全要求的做法。应用通过 QDesktopServices.openUrl() 打开系统默认浏览器，用户在该浏览器中完成 Google 登录和授权；授权完成后，Google 将授权码通过注册的回调 URI（例如 http://localhost:8080/callback）发送给应用本地启动的 HTTP 服务器，应用监听该端口接收授权码，再换取 Access Token。

示例代码框架：

import sys
import threading
from PySide6.QtCore import QUrl
from PySide6.QtGui import QDesktopServices
from http.server import HTTPServer, BaseHTTPRequestHandler

# 启动本地服务器接收回调
def start_local_server():
    server = HTTPServer(('localhost', 8080), CallbackHandler)
    server.handle_request()  # 阻塞等待一次请求

# 在事件循环中调用系统浏览器
QDesktopServices.openUrl(QUrl(f"https://accounts.google.com/o/oauth2/v2/auth?..."
                               f"redirect_uri=http://localhost:8080/callback..."))

该方案能完全避免安全警告，且用户信任度高，但需要应用具备处理回调的能力，并可能涉及端口占用问题。

方案二：模拟 Chrome 用户代理（临时缓解）

若必须使用嵌入式 WebView，可以尝试修改 QtWebEngine 的用户代理字符串，使其与当前 Chrome 版本一致：

from PySide6.QtWebEngineWidgets import QWebEngineProfile
profile = QWebEngineProfile.defaultProfile()
profile.setHttpUserAgent("Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.0.0 Safari/537.36")

这种方法能通过部分初级检测，但随着 Google 引入更多高级指纹（如 navigator.webdriver 标志），成功率逐渐下降。此外，Google 可能随时封禁此类伪装，并非长久之计。

方案三：Google OAuth Device Flow（无需浏览器）

对于需要嵌入式自动化的场景，可以采用 Google 的“设备授权流程”（OAuth Device Grant）。应用显示一个一次性设备码和 URL，用户在自己信任的设备（手机或电脑）浏览器中手动输入该码完成授权。该流程完全避开嵌入式浏览器的安全审查，但用户体验上多了一个“扫码/输码”步骤。

总结与展望

PySide6 QtWebEngine 遭遇的 Google 登录拒绝，本质上是桌面应用向 Web OAuth 标准靠拢的阵痛。Google 出于账号安全考虑，将嵌入式 WebView 归类为“非安全环境”，开发者不应试图强行破解安全警告，而应遵循官方推荐的 OAuth 流程——优先使用系统浏览器或设备授权流。

随着 Qt 6.x 的演进，QtWebEngine 本身也在优化与系统安全插件的兼容性。未来或许会有更简洁的“安全 WebView”接口，但在那之前，“系统浏览器 + 本地回调”仍是最稳健的解决方案。对于已投入生产环境的应用，建议尽快迁移至该架构，以从根本上杜绝“此浏览器或应用可能不安全”的警告，并提升用户的登录成功率。