Google Drive API 认证：服务账户与OAuth 2.0的选择与实践-js教程-PHP中文网

Google Drive API 认证：服务账户与OAuth 2.0的选择与实践

DDD

发布： 2025-11-29 13:48:47

原创

830人浏览过

google drive api 认证：服务账户与oauth 2.0的选择与实践

本文深入探讨了在Google Drive API集成中，如何根据应用场景选择合适的认证机制。我们将详细比较OAuth 2.0与服务账户，并重点介绍如何利用服务账户实现无用户交互的Google Drive文件访问，包括配置步骤、权限管理以及使用示例代码获取访问令牌并调用API。

理解Google Drive API认证机制

在与Google Drive API进行交互时，选择正确的认证方式是至关重要的一步。Google提供了多种认证流，以适应不同的应用场景。最常见的两种是OAuth 2.0（用户授权）和服务账户（应用授权）。

OAuth 2.0 与 Refresh Token

OAuth 2.0 是一种授权框架，允许第三方应用程序代表用户访问受保护的资源，而无需获取用户的凭据。其核心流程包括：

授权码（Authorization Code）获取：用户通过浏览器重定向到Google的授权页面，同意应用程序访问其Google Drive。
访问令牌（Access Token）与刷新令牌（Refresh Token）交换：应用程序使用授权码向Google的令牌端点交换访问令牌和刷新令牌。访问令牌通常有较短的有效期（如一小时），用于实际的API请求。刷新令牌则具有较长的有效期，用于在访问令牌过期后，无需用户再次授权即可获取新的访问令牌。

适用场景：当您的应用程序需要访问特定用户的Google Drive数据，并且需要用户明确授权时，OAuth 2.0 是理想的选择。例如，一个在线照片编辑器需要访问用户存储在Google Drive中的照片。

服务账户 (Service Account)

服务账户是一种特殊的Google账户，它代表一个非人类用户，即您的应用程序本身。它不与任何特定用户关联，而是作为应用程序的身份进行认证。服务账户通过私钥文件（通常是JSON格式）进行认证，该文件包含用于生成访问令牌的凭据。

适用场景：当您的应用程序需要在没有用户直接参与的情况下访问Google Drive数据时，服务账户是最佳选择。这包括：

服务器到服务器的交互：例如，一个后端服务需要定期从Google Drive同步文件。
后台任务：例如，一个系统需要自动上传日志文件到Google Drive。
特定应用场景：如Wix网站后端需要获取Google Drive中的公共或特定共享文件，而无需每个网站访问者都进行OAuth授权。

根据提供的场景，尝试使用刷新令牌获取访问令牌并调用API失败，而解决方案明确指出应使用服务账户。这强烈暗示了应用程序的需求更倾向于无用户交互的、应用层面的Google Drive访问。

使用服务账户访问Google Drive API

本节将详细介绍如何设置和使用服务账户来访问Google Drive API。

1. 创建服务账户

首先，您需要在Google Cloud Console中创建一个服务账户：

笔魂AI

笔魂AI绘画-在线AI绘画、AI画图、AI设计工具软件

403

查看详情

登录 Google Cloud Console。
选择或创建一个项目。
导航到“IAM & Admin” > “服务账户”。
点击“创建服务账户”，输入服务账户名称、ID和描述。
在“授予此服务账户对项目的访问权限”步骤中，可以跳过或根据需要授予最小权限（例如，“项目”>“查看者”）。
点击“完成”。

2. 生成服务账户密钥

创建服务账户后，您需要为其生成一个密钥文件：

在服务账户列表中，点击您刚刚创建的服务账户。
导航到“密钥”选项卡。
点击“添加密钥” > “创建新密钥”。
选择“JSON”作为密钥类型，然后点击“创建”。
JSON密钥文件将自动下载到您的计算机。请妥善保管此文件，因为它包含敏感凭据。

3. 启用Google Drive API并授予权限

确保您的Google Cloud项目中已启用Google Drive API：

在Google Cloud Console中，导航到“API和服务” > “库”。
搜索“Google Drive API”并启用它。

接下来，您需要将Google Drive中的特定文件或文件夹共享给您的服务账户。服务账户的“电子邮件地址”可以在其详情页面的“概览”选项卡中找到。将此电子邮件地址添加为文件的“查看者”或“编辑者”，具体取决于您的需求。

4. 通过服务账户获取访问令牌并调用API

在后端应用程序中，您可以使用服务账户密钥来认证并获取访问令牌。以下是一个使用Node.js google-auth-library库的示例，它演示了如何实现这一过程。

安装依赖：

npm install googleapis google-auth-library

登录后复制

示例代码：

const { google } = require('googleapis');
const path = require('path');

// 假设您的服务账户密钥文件名为 service-account-key.json
// 建议将此文件路径配置在环境变量中，而不是硬编码
const KEYFILEPATH = path.join(__dirname, 'service-account-key.json'); 

// 定义Google Drive API的范围
// 'https://www.googleapis.com/auth/drive.readonly' 允许只读访问
// 'https://www.googleapis.com/auth/drive' 允许读写访问
const SCOPES = ['https://www.googleapis.com/auth/drive.readonly'];

/**
 * 使用服务账户获取Google Drive API的访问令牌。
 * @returns {Promise<string>} 访问令牌。
 */
async function getServiceAccountAccessToken() {
  const auth = new google.auth.GoogleAuth({
    keyFile: KEYFILEPATH,
    scopes: SCOPES,
  });

  const client = await auth.getClient();
  const accessToken = (await client.getAccessToken()).token;

  if (!accessToken) {
    throw new Error('Failed to retrieve access token using service account.');
  }
  return accessToken;
}

/**
 * 从Google Drive获取照片列表。
 * @returns {Promise<Array>} 包含照片信息的数组。
 */
async function fetchPhotosFromGoogleDrive() {
  const accessToken = await getServiceAccountAccessToken();
  const drive = google.drive({ version: 'v3', auth: accessToken });

  try {
    const response = await drive.files.list({
      q: "mimeType contains 'image/' and trashed = false", // 查询条件：只获取图片文件且未被删除
      fields: 'files(id, name, mimeType, thumbnailLink, webContentLink)', // 需要返回的字段
      pageSize: 100, // 每页文件数量
    });

    const files = response.data.files;
    if (!files || files.length === 0) {
      console.log('No image files found.');
      return [];
    }

    // 过滤掉没有thumbnailLink的图片，并进行一些处理
    const imageFiles = files.filter(file => file.mimeType.startsWith('image/') && file.thumbnailLink)
                            .map(file => ({
                                id: file.id,
                                name: file.name,
                                mimeType: file.mimeType,
                                thumbnailUrl: file.thumbnailLink,
                                // 如果需要直接下载链接，可能需要webContentLink，但需要注意权限
                                // downloadLink: file.webContentLink 
                            }));
    return imageFiles;

  } catch (error) {
    console.error('Error fetching photos from Google Drive:', error.message);
    throw new Error('Failed to fetch photos from Google Drive.');
  }
}

// 示例调用
(async () => {
  try {
    console.log('Fetching photos from Google Drive using service account...');
    const photos = await fetchPhotosFromGoogleDrive();
    console.log('Fetched photos:', photos.map(p => ({ name: p.name, id: p.id, thumbnailUrl: p.thumbnailUrl })));
  } catch (error) {
    console.error('Application error:', error.message);
  }
})();

登录后复制

针对Wix平台集成说明：如果您的应用程序运行在Wix后端（Velo），您需要将上述Node.js逻辑封装在Velo的后端模块中。wix-fetch 可以在Velo后端使用，但更推荐使用 googleapis 库，因为它提供了更强大的认证和API客户端功能。您需要将服务账户密钥文件安全地存储在Wix的Secret Manager中，并在Velo后端代码中以编程方式访问它，而不是直接将其上传到文件系统。

注意事项与最佳实践

安全性：服务账户密钥文件是高度敏感的。切勿将其直接暴露在客户端代码中或上传到公共代码仓库。在生产环境中，应将其存储在安全的环境变量、密钥管理服务（如Google Secret Manager、AWS Secrets Manager）或Wix的Secret Manager中。
最小权限原则：为服务账户授予其完成任务所需的最小权限。如果只需要读取文件，则授予只读权限 (drive.readonly)，而不是完全访问权限 (drive)。
API配额：Google Drive API有使用配额。监控您的API使用情况，并根据需要申请更高的配额。
错误处理：在API请求中实现健壮的错误处理机制，包括重试逻辑和对不同错误类型（如认证失败、配额限制、文件未找到）的响应。
文件共享管理：请记住，服务账户只能访问已明确共享给它的Google Drive文件或文件夹。如果您希望服务账户访问所有文件，这通常需要使用Google Workspace域范围委派，但这超出了本教程的范围，并且需要更高的权限。

总结

在Google Drive API集成中，OAuth 2.0 适用于需要用户授权的场景，而服务账户则适用于无需用户交互的服务器到服务器或后台任务场景。当遇到刷新令牌无法正常工作或需要应用程序独立访问Drive资源时，服务账户通常是更合适的解决方案。通过正确配置服务账户、管理密钥和权限，并利用Google提供的客户端库，您可以安全高效地实现Google Drive API的集成。

以上就是Google Drive API 认证：服务账户与OAuth 2.0的选择与实践的详细内容，更多请关注php中文网其它相关文章！