无法启用域范围委派时，Google Workspace服务账号替代方案求助

因为无法启用域范围委派，你可以通过OAuth 2.0授权码流程+持久化刷新令牌的方式实现类似EWS impersonate的代用户收发邮件功能，核心逻辑是让目标用户主动授权你的应用访问其邮件权限，之后用持久化的刷新令牌持续获取访问令牌完成操作。

实现步骤 #

1. 配置OAuth 2.0客户端凭证 #

在Google Cloud控制台中，为你的项目创建一个桌面应用类型的OAuth客户端ID（适配你的.NET桌面DMS软件），下载生成的credentials.json文件并放到程序目录下。

2. 引导用户完成授权，获取刷新令牌 #

首次为用户配置时，引导其登录Google Workspace账号并授权你的应用访问邮件权限，授权成功后会生成包含刷新令牌的token.json文件，需将该令牌持久化存储（比如存入DMS数据库或安全本地路径）。

3. 使用刷新令牌实现邮件操作 #

每次需要代用户操作邮件时，用刷新令牌换取临时访问令牌，再调用Gmail API完成收发邮件等操作。

.NET代码示例 #

首先安装必要的NuGet包：

Install-Package Google.Apis.Gmail.v1
Install-Package Google.Apis.Auth

授权与令牌持久化代码 #

using Google.Apis.Auth.OAuth2;
using Google.Apis.Gmail.v1;
using Google.Apis.Services;
using Google.Apis.Util.Store;
using System.IO;
using System.Threading;

public class GmailMailHandler
{
    // 根据业务需求调整权限范围，遵循最小权限原则
    private static readonly string[] _scopes = { 
        GmailService.Scope.GmailSend, 
        GmailService.Scope.GmailReadonly 
    };
    private const string _appName = "经销商管理系统(DMS)邮件代理";

    public static GmailService GetGmailService(string userId, string credPath, string tokenStorePath)
    {
        UserCredential credential;

        using (var stream = new FileStream(credPath, FileMode.Open, FileAccess.Read))
        {
            // 授权并持久化令牌
            credential = GoogleWebAuthorizationBroker.AuthorizeAsync(
                GoogleClientSecrets.Load(stream).Secrets,
                _scopes,
                userId,
                CancellationToken.None,
                new FileDataStore(tokenStorePath, true)).Result;
        }

        // 初始化Gmail服务
        return new GmailService(new BaseClientService.Initializer()
        {
            HttpClientInitializer = credential,
            ApplicationName = _appName,
        });
    }
}

代发邮件示例 #

using Google.Apis.Gmail.v1;
using Google.Apis.Gmail.v1.Data;
using System;
using System.Net.Mail;
using System.Net.Mime;

public static void SendMailAsUser(GmailService service, string fromEmail, string toEmail, string subject, string body)
{
    var mailMessage = new MailMessage();
    mailMessage.From = new MailAddress(fromEmail);
    mailMessage.To.Add(toEmail);
    mailMessage.Subject = subject;
    mailMessage.Body = body;
    mailMessage.IsBodyHtml = true;

    // 将MailMessage转换为Gmail API所需格式
    var mimeMessage = MimeKit.MimeMessage.CreateFromMailMessage(mailMessage);
    var rawMessage = Convert.ToBase64String(mimeMessage.ToByteArray())
        .Replace('+', '-')
        .Replace('/', '_')
        .Replace("=", "");

    var message = new Message { Raw = rawMessage };
    service.Users.Messages.Send(message, fromEmail).Execute();
}

注意事项 #

• 刷新令牌有效期：Google Workspace用户的刷新令牌在用户未主动撤销授权的情况下长期有效，无需频繁重新授权。
• 权限范围：避免申请超出业务需求的权限，比如仅需发邮件则只申请GmailSend权限，降低安全风险。
• 凭证安全：credentials.json和存储的刷新令牌需妥善保管，禁止泄露给第三方，防止用户邮件被非法访问。

内容的提问来源于stack exchange，提问作者Justin Price