Google Calendar API中token.json的用户隔离与备份问题咨询

我正在开发一个服务端主导的网站，支持用户登录后创建日历，并能根据相关事件自动添加日程。之前参考了Google Calendar API的Python快速入门示例，其中包含以下代码逻辑：

if not creds or not creds.valid:
    if creds and creds.expired and creds.refresh_token:
      creds.refresh(Request())
    else:
      flow = InstalledAppFlow.from_client_secrets_file(
          "credentials.json", SCOPES
      )
      creds = flow.run_local_server(port=0)
    # Save the credentials for the next run
    with open("token.json", "w") as token:
      token.write(creds.to_json())

技术问题 #

1. token.json是否为所有用户共享，还是需要为每位用户单独创建？
2. 是否需要备份token.json？若丢失该文件，是否会导致所有用户登出？

解答 #

• 关于token.json的用户隔离：
  绝对不能让所有用户共享同一个token.json。这个文件存储的是单个用户的授权凭证（包括访问令牌、刷新令牌），对应特定Google账号的权限。如果共享，所有操作都会用同一个用户身份执行，不仅会造成数据混乱，还会引发权限泄露问题。你必须为每个用户单独生成并存储专属的凭证（更推荐存在数据库中，比本地文件更适配服务端场景）。

• 关于token.json的备份与丢失影响：
  需要妥善保存每个用户的凭证，优先选择数据库存储而非本地文件。如果丢失某个用户的token.json，只会影响该用户——他们需要重新授权你的应用访问其Google Calendar，不会波及其他用户。但如果是服务端统一存储的凭证库丢失，那所有用户都得重新完成授权流程。

内容的提问来源于stack exchange，提问作者run_the_race