无超级管理员权限时，Gmail通过OAuth2服务账号获取IMAP无交互访问令牌

核心澄清 #

首先明确：无用户交互的长期访问必须依赖刷新令牌——你的场景中若认为刷新令牌“无法满足需求”，大概率是对其使用逻辑存在误解。只要正确获取带offline_access权限的刷新令牌，就能长期自动生成新的访问令牌，完全无需用户介入。

具体实现步骤（单用户场景，无需域权限） #

1. 配置Google Cloud项目

   • 登录Google Cloud控制台，创建或使用现有项目
   • 在API库中搜索并启用「Gmail API」
   • 创建OAuth客户端ID：类型选择「桌面应用」，记录生成的client_id和client_secret

2. 一次性手动获取授权码

   • 构造授权URL，包含以下关键参数：

     https://accounts.google.com/o/oauth2/auth?client_id=你的客户端ID&redirect_uri=urn:ietf:wg:oauth:2.0:oob&scope=https://mail.google.com/&response_type=code&access_type=offline
     

     • scope按需选择：若仅需读取邮件，可改用https://www.googleapis.com/auth/gmail.readonly；需要处理附件建议用全权限https://mail.google.com/
     • access_type=offline是核心，必须添加才能获取刷新令牌
   • 在浏览器打开该URL，用目标Gmail账号完成授权，复制页面显示的授权码

3. 兑换刷新令牌

   • 发送POST请求到https://oauth2.googleapis.com/token，携带参数：

     code=你的授权码&client_id=你的客户端ID&client_secret=你的客户端密钥&redirect_uri=urn:ietf:wg:oauth:2.0:oob&grant_type=authorization_code
     

   • 响应中会得到refresh_token（长期有效，除非用户主动撤销授权）和短期有效的access_token

4. 服务器定时服务的无交互逻辑

   • 每次需要访问Gmail时，用刷新令牌兑换新的访问令牌：发送POST请求到https://oauth2.googleapis.com/token，参数：

     refresh_token=你的刷新令牌&client_id=你的客户端ID&client_secret=你的客户端密钥&grant_type=refresh_token
     

   • 使用返回的access_token通过IMAP访问邮件：
     • 用户名：目标Gmail邮箱地址
     • 密码：填入access_token
     • 服务器：imap.gmail.com，端口993，启用SSL加密

方案优势 #

• 无需域管理员权限，完全基于单个用户的OAuth授权流程
• 仅需一次用户交互（获取授权码），后续全程自动运行
• 刷新令牌长期有效，可无限次生成新的访问令牌，满足定时服务的持续需求

内容的提问来源于stack exchange，提问作者Jens Popp