ASP.NET部署IIS后Google Sheets认证失败：路径权限被拒

核心问题分析 #

• 你使用的Desktop Client类型OAuth 2.0 Client ID属于交互式认证流程，依赖桌面弹窗完成用户授权，但IIS作为服务端运行无桌面交互环境，无法触发认证窗口。
• 权限报错源于Google .NET客户端库默认将认证凭据缓存到C:\Windows\system32\config\systemprofile目录，而IIS应用池默认运行账户无该目录的读写权限。

解决方案步骤 #

1. 替换OAuth 2.0 Client ID类型 #

将Desktop Client替换为Web Application类型的Client ID：

• 登录Google Cloud Console，进入目标项目的「API和服务」→「凭据」页面。
• 删除原有Desktop Client ID，点击「创建凭据」→「OAuth客户端ID」。
• 选择「Web应用」类型，配置「已授权的重定向URI」（例如生产环境填https://你的域名.com/authorize，本地测试可加http://localhost:端口号/authorize）。
• 保存新的Client ID和Client Secret，替换代码中的对应配置。

2. 修改认证流程为服务端授权模式 #

ASP.NET服务端应用需采用授权码流程，核心代码调整示例：

using Google.Apis.Auth.OAuth2;
using Google.Apis.Sheets.v4;
using Google.Apis.Services;
using Google.Apis.Util.Store;
using System.IO;
using System.Threading;

public SheetsService GetSheetsService()
{
    string[] scopes = { SheetsService.Scope.SpreadsheetsReadonly };
    string clientSecretPath = Server.MapPath("~/client_secret.json"); // 将新的Web Client JSON文件放置在项目目录中

    UserCredential credential;
    using (var stream = new FileStream(clientSecretPath, FileMode.Open, FileAccess.Read))
    {
        // 将凭据缓存到网站的App_Data目录，该目录默认对IIS账户开放读写权限
        string credPath = Server.MapPath("~/App_Data/GoogleCredentials"); 
        credential = GoogleWebAuthorizationBroker.AuthorizeAsync(
            GoogleClientSecrets.FromStream(stream).Secrets,
            scopes,
            "user",
            CancellationToken.None,
            new FileDataStore(credPath, true)).Result;
    }

    // 初始化Sheets服务实例
    var service = new SheetsService(new BaseClientService.Initializer()
    {
        HttpClientInitializer = credential,
        ApplicationName = "你的应用名称",
    });

    return service;
}

3. 配置IIS应用池目录权限 #

确保IIS应用池运行账户对网站App_Data目录拥有读写权限：

• 找到目标站点对应的应用池，查看其「标识」（默认是ApplicationPoolIdentity）。
• 在文件管理器中右键网站根目录的App_Data文件夹，选择「属性」→「安全」→「编辑」→「添加」。
• 输入IIS AppPool\你的应用池名称（例如IIS AppPool\DefaultAppPool），点击「检查名称」确认后添加。
• 为该账户分配「读取」和「写入」权限，保存设置。

4. 完成首次授权 #

部署后首次访问需手动完成一次授权：

• 访问网站并触发Google Sheets数据读取逻辑，会自动跳转至Google授权页面，使用你的Google账号完成登录授权。
• 授权完成后，凭据会自动缓存到App_Data/GoogleCredentials目录，后续访问无需重复授权。

额外建议 #

生产环境建议采用**服务账号（Service Account）**模式：

• 在Google Cloud Console创建服务账号并生成密钥文件，将服务账号邮箱添加为目标Google Sheets的协作者。
• 代码中直接使用服务账号密钥完成认证，无需用户手动授权，更适合无交互的服务端场景。

内容的提问来源于stack exchange，提问作者Dev Beginner