多用户Google Apps Script应用出现数据串扰问题求助

核心原因 #

1. 服务器端误用全局变量
   如果你在GAS的服务器端脚本（.gs文件）里用全局变量存储用户的工作表实例或信息，必然会出问题。GAS的服务器运行环境是多用户共享的，全局变量会被不同用户的请求覆盖，导致后续请求拿到的是其他用户的工作表数据。

2. 混淆客户端与服务器端状态
   sessionStorage是浏览器客户端的存储，只能存字符串类型数据，且仅当前会话有效。如果试图把服务器端的Spreadsheet或Sheet对象存在sessionStorage里，本质上存的只是序列化后的空壳，后续调用根本无法正确指向原工作表；更糟的是，如果服务器端没有基于用户身份重新校验，直接用客户端传来的错误标识，就会串到其他用户的表。

3. 验证逻辑不严谨
   仅在登录时做一次验证，后续操作完全依赖客户端存储的工作表信息，没有在每次服务器请求时重新校验用户身份与工作表的归属关系。如果客户端的sessionStorage被篡改（或者同一浏览器多个用户会话混用），就会导致数据串入错误的表。

具体解决办法 #

• 彻底放弃服务器端全局变量存用户数据
  每次服务器端需要操作工作表时，都基于当前用户的身份（比如登录后的邮箱、用户ID）重新查询对应的工作表，示例代码：

  // 服务器端脚本：根据用户邮箱获取专属工作表
  function getUserSheet(userEmail) {
    const mainSpreadsheet = SpreadsheetApp.openById("你的主表ID");
    // 假设工作表名称或ID与用户邮箱绑定
    return mainSpreadsheet.getSheetByName(userEmail) || createNewUserSheet(userEmail);
  }
  

• 客户端sessionStorage只存唯一标识
  登录验证通过后，只把工作表的ID（或唯一名称）存在sessionStorage里，不要存对象，示例代码：

  // 客户端脚本：登录成功后存储工作表ID
  function onLoginSuccess(sheetId) {
    sessionStorage.setItem("userSheetId", sheetId);
  }
  

• 每次服务器请求都做身份校验
  客户端发起请求时，服务器端直接通过Session.getActiveUser().getEmail()获取真实用户身份，不要依赖客户端传的信息。先验证用户身份，再根据身份获取对应的工作表，绝对信任客户端传来的标识，示例代码：

  // 服务器端处理请求的示例
  function addDataToUserSheet(data) {
    const userEmail = Session.getActiveUser().getEmail();
    const userSheet = getUserSheet(userEmail);
    // 后续操作userSheet，确保是当前用户的表
    userSheet.appendRow([new Date(), data]);
  }
  

• 规避浏览器会话冲突
  提示用户如果要切换账号，必须关闭浏览器标签或使用隐私窗口，防止同一浏览器下不同用户的sessionStorage数据互相干扰。

内容的提问来源于stack exchange，提问作者KPierce