允许未经身份验证的客户端对Google驱动器文件进行读写访问

Question

我们一直在开发一个web服务(http://www.genomespace.org/)，它允许实现REST API的计算生物学工具读写存储在“云”上的文件。

我们的默认文件存储是通用Amazon S3 bucket，但现在允许用户挂载他们自己的私有S3 bucket以及Dropbox上的文件。

我们现在正试图为Google Drive启用类似的功能，但遇到了一些Google Drive特有的问题，这些问题是我们在S3或Dropbox中没有遇到的。

>

允许未经Google身份验证的客户端不引人注目地读取文件的唯一方法是使文件“公共”。我们的偏好是，一旦用户通过oauth2授权访问我们的应用程序，用户文件就可以在Google Drive中保持“私有”。
然而，即使用户已经授权我们的web服务离线访问他们的“私有”文件，我们还没有找到一种方法来生成一个URL，由系统授权的客户机可以使用该URL直接获取文件，而客户机也没有登录到Google。我们最接近此功能的是将文件权限更改为“任何有链接的人”，除了对于大于20MB的文件，Google坚持返回一个中间网页警告，该文件没有被扫描病毒。除了必须扰乱文件权限之外，这还会破坏我们现有的客户端。只有当文件“public”并且我们使用https://googledrive.com/host/parent_folder_id/filename形式的URL时，非Google客户端才能不受干扰地读取文件。

没有找到任何方法让没有Google认证的客户端将文件上传到Google Drive。我们的API允许我们的授权客户机使用服务器提供的URL将文件直接放入备份文件存储区。但是，即使文件夹标记为“public”，客户端也需要Google身份验证凭据保存到Google Drive。我们可以通过系统中的中间跳来处理这两个问题（例如，我们的web服务器将首先从Google Drive下载文件，然后允许客户机获取它），但这将是非常低效的，希望是不必要的。这些问题以前在stackoverflow上已经讨论过多次（例如，这里和这里，并且已经非常仔细地阅读了响应，但没有看到任何最近的讨论。

谷歌的人指示他们的API用户在stackoverflow上发布支持，所以我希望内部人士对此有新的看法。

Answer 1

一般的答案是：不要通过用户的浏览器发出驱动器请求。欧洲工商管理学院从你的服务器上做一切。您拥有用户的（刷新）令牌，所以您应该像在用户和驱动器之间建立代理一样发出所有请求。同样的下载，你下载它并返回给用户。只要您使用每个驱动器的令牌，就不会有费率限制/配额问题。