通过云函数访问Google Sheets Python API的身份验证问题

Question

我试图访问谷歌表使用云函数和表API在python，但得到一个403权限错误。我创建了一个服务号，导出了密钥（包含在我正在上传的云函数zip中），并为该服务号提供了访问工作表所需的API范围（我尝试了https://www.googleapis.com/auth/spreadsheets和https://www.googleapis.com/auth/drive）。下面是代码：

import httplib2
from apiclient.discovery import build
from oauth2client.service_account import ServiceAccountCredentials

def main(request):
  scope = ['https://www.googleapis.com/auth/spreadsheets','https://www.googleapis.com/auth/drive']

  credentials = ServiceAccountCredentials.from_json_keyfile_name('client_secrets.json', scope)

  service = build('sheets', 'v4', http=credentials.authorize(httplib2.Http()))

  spreadsheet_id = 'id-of-the-google-sheet'

  range = 'Sheet1!A:D'

  response = service.spreadsheets().values().get(spreadsheetId=spreadsheet_id, range=range).execute()

  cols = response.get('values', [])[0]
  return cols[0]

requirements.txt：

google-api-python-client
oauth2client
google-auth-httplib2
google-auth

如果我显式地与服务号共享Google工作表，则身份验证有效，并且我可以访问工作表数据。问题是，为什么这不能通过应用适当的API范围作为谷歌帐户管理员来工作？

Answer 1

Google Drive权限位于范围之上。请求的身份验证需要范围，但是驱动器权限（以及扩展表）决定了谁有权访问哪个文件。如果调用帐户（在这种情况下是服务帐户）不能访问有问题的工作表，您将获得403。

在管理控制台中设置作用域与权限没有直接关联。

还有一点需要注意的是，如果您在默认情况下将文档共享给谷歌办公套件帐户中的每个人，您可以使用域宽委托（1）并使用服务帐户在谷歌办公套件域中模拟用户（如超级管理员）。您不需要将每个文档与服务帐户本身共享。

（1） 这篇文章是针对AdminSDK的，但这篇文章包含了最好的示例。您对那里的凭证对象感兴趣。您还可以使用一个属性创建对象。json IIRC。