部署Google Calendar应用后出现Access Denied权限错误求助

问题分析 #

你遇到的Win32Exception (0x80004005): Access is denied属于系统权限错误，根源是服务器运行应用的账户没有足够的文件系统权限，或者你使用的GoogleWebAuthorizationBroker类并不适合服务器端环境（该类默认面向桌面应用，依赖交互式授权流程）。

解决方案 #

1. 修复文件系统权限 #

服务器上的应用池账户（比如IIS的AppPoolIdentity）需要对以下资源拥有读写权限：

• credentials.json所在的目录（至少需要读取权限）
• token.json要生成/存储的目录（需要读写权限，推荐使用网站的App_Data目录，该目录默认具备应用池读写权限）

操作步骤：

• 找到网站根目录，右键选择「属性」→「安全」
• 添加应用池账户（格式为IIS AppPool\你的应用池名称）
• 给该账户分配「读取」和「写入」权限，应用到目标目录及子文件

2. 优化credentials.json的访问方式 #

你的代码中用FileAccess.ReadWrite打开credentials.json，但该文件仅需读取权限，修改为只读模式可减少权限需求：

Using stream = New FileStream(Server.MapPath("~\credentials.json"), FileMode.Open, FileAccess.Read)

3. 替换为服务器友好的授权方式 #

GoogleWebAuthorizationBroker依赖桌面环境弹出授权页面，服务器通常无交互界面，建议根据场景选择以下方案：

方案A：预先生成token.json上传服务器

在本地运行代码完成授权，生成token.json后上传到服务器的可写目录（比如App_Data），确保应用池账户能读取并更新该文件（token过期时会自动刷新写入）。修改代码中的credPath指向App_Data：

Dim credPath As String = Server.MapPath("~\App_Data\token.json")

方案B：使用服务账号授权（适合G Suite域内应用）

如果是访问域内特定用户的日历，可使用服务账号完成无交互授权，示例代码：

Private Function GetCalendarService() As CalendarService
    ' 替换为你的服务账号邮箱和密钥文件路径
    Dim serviceAccountEmail = "your-service-account@your-project.iam.gserviceaccount.com"
    Dim keyFilePath = Server.MapPath("~\App_Data\service-account-key.json")
    
    Dim certificate = New X509Certificate2(keyFilePath, "notasecret", X509KeyStorageFlags.Exportable)

    Dim credential = New ServiceAccountCredential(
        New ServiceAccountCredential.Initializer(serviceAccountEmail) With {
            .Scopes = Scopes,
            .User = "target-user@your-domain.com" ' 要访问的用户邮箱
        }.FromCertificate(certificate))

    Return New CalendarService(New BaseClientService.Initializer() With {
        .HttpClientInitializer = credential,
        .ApplicationName = "Your Application Name"
    })
End Function

4. 检查Google控制台配置 #

确认已在Google Cloud控制台中：

• 为应用添加了服务器的回调URI（如果使用授权码流）
• 启用了Google Calendar API
• 服务账号已获得相应的日历权限（如果使用服务账号方案）

内容的提问来源于stack exchange，提问作者Eduardo