如何获取Gmail API永久刷新令牌？个人应用授权难题

1. 如何获取长期有效的刷新令牌？ #

你的刷新令牌7天就过期，是因为Google Cloud项目处于测试模式，该模式下所有测试用户的刷新令牌有效期都是7天。解决方法分两种，都不需要提交应用验证：

方案一：切换OAuth同意屏幕到生产模式 #

1. 登录Google Cloud控制台，进入「API和服务」→「OAuth同意屏幕」
2. 确认应用类型为「外部」（个人账号只能选这个），直接将发布状态从「测试」切换为「生产」。注意：个人使用的应用无需提交审核，只要你只把自己的账号添加为测试用户，生产模式下仅限你自己访问，刷新令牌会变成长期有效（除非你主动撤销授权或重置令牌）。
3. 调整授权请求参数，确保包含access_type=offline和prompt=consent，强制获取离线访问权限，且每次授权时不会跳过确认步骤（避免无法更新刷新令牌）。

方案二：改用服务账号（更适合树莓派脚本） #

服务账号不需要用户授权流程，直接通过密钥文件就能访问你的Gmail，彻底解决刷新令牌过期问题：

1. 在Google Cloud控制台的「IAM与管理员」→「服务账号」创建新的服务账号
2. 给该服务账号分配「Gmail Reader」角色（只读访问权限，符合你查询未读邮件的需求）
3. 为服务账号创建并下载JSON格式的密钥文件
4. 打开你的Gmail账号，进入「设置」→「账户和导入」→「添加其他邮箱账户」，输入服务账号的邮箱地址，完成授权验证
5. 脚本中直接使用该密钥文件初始化API客户端，无需处理OAuth授权流程

2. 为什么操作自己的账号权限这么繁琐？ #

这是Google的安全机制决定的：哪怕是你自己的账号，API调用也需要通过OAuth或服务账号做权限隔离，避免脚本过度授权、密钥泄露后危害你的账号安全。测试模式的短期令牌是为了限制测试应用的风险范围，生产模式的流程则是为了明确应用的使用边界，哪怕是个人使用，也需要走流程确认应用的安全性。

3. 能否手动获取API密钥用于Gmail API？ #

不行。API密钥仅适用于无需用户授权的公开API（比如部分地图接口），而Gmail API需要访问你的个人邮件数据，属于需要用户权限的私有API，必须使用OAuth客户端ID或服务账号凭证才能调用。

内容的提问来源于stack exchange，提问作者Denel