.NET 4.7.2中Windows服务调用GoogleWebAuthorizationBroker连接Gmail挂起求助

• 基于.NET Framework 4.7.2开发的应用，需通过POP3对接Gmail下载邮件，采用Google Cloud Platform（GCP）的OAuth2认证方式（使用ClientId和ClientSecret）
• 应用包含两个可执行程序：
  • 可视化配置程序：供用户配置GCP应用参数，首次运行时打开浏览器完成邮箱授权，生成可刷新令牌，后续运行无需交互即可获取凭证
  • 静默模式程序：由Windows服务定时调度执行
• 两个程序共享以下认证代码：

UserCredential credential;
credential = GoogleWebAuthorizationBroker.AuthorizeAsync(
    new ClientSecrets
    {
        ClientId = "XXXXXXX",
        ClientSecret = "XXXXXXX"
    },
    new[] { "https://mail.google.com/" },
    "user",
    System.Threading.CancellationToken.None).Result;

if (credential.Token.IsExpired(credential.Flow.Clock))
{
    if (!(credential.RefreshTokenAsync(CancellationToken.None).Result))
    {
        CrmEMFunc.LogMessage("Access token can't be refreshed");
        return;
    }
}

• 异常现象：可视化程序运行正常，但Windows服务调度静默程序时，执行到认证代码处出现挂起。当前令牌有效未过期，理论无需用户交互即可继续执行。已尝试使用await/GetAwaiter().GetResult()调用异步方法、开启服务「允许服务与桌面交互」选项、修改静默程序输出类型，均无法解决问题。

1. 统一令牌存储路径并确保服务有权限访问 #

GoogleWebAuthorizationBroker默认将令牌存储在当前执行用户的AppData目录中，而Windows服务通常使用LocalSystem等系统账户运行，与可视化程序的用户账户不一致，导致无法读取已生成的令牌，进而触发隐性授权流程（服务环境无法弹出浏览器，因此挂起）。

• 解决方案：在AuthorizeAsync中指定DataStore参数，使用FileDataStore设置一个服务账户可读写的公共路径，示例代码：

credential = GoogleWebAuthorizationBroker.AuthorizeAsync(
    new ClientSecrets { ClientId = "XXXXXXX", ClientSecret = "XXXXXXX" },
    new[] { "https://mail.google.com/" },
    "user",
    CancellationToken.None,
    new FileDataStore(@"C:\SharedTokenStorage", true)).Result;

• 注意：给服务运行账户配置该目录的读写权限。

2. 避免同步阻塞异步方法 #

使用.Result或.GetAwaiter().GetResult()同步阻塞异步方法，可能在Windows服务的上下文环境中引发死锁。

• 解决方案：将认证逻辑改为完整的异步实现，同时让Windows服务的调度逻辑支持异步调用，示例代码：

private async Task<UserCredential> GetCredentialAsync()
{
    var credential = await GoogleWebAuthorizationBroker.AuthorizeAsync(
        new ClientSecrets { ClientId = "XXXXXXX", ClientSecret = "XXXXXXX" },
        new[] { "https://mail.google.com/" },
        "user",
        CancellationToken.None,
        new FileDataStore(@"C:\SharedTokenStorage", true));

    if (credential.Token.IsExpired(credential.Flow.Clock))
    {
        if (!await credential.RefreshTokenAsync(CancellationToken.None))
        {
            CrmEMFunc.LogMessage("Access token can't be refreshed");
            return null;
        }
    }
    return credential;
}

• 服务调度时调用await GetCredentialAsync()，确保异步流程正常执行。

3. 调整服务运行账户权限 #

Windows服务默认运行账户（如LocalSystem）即使开启「允许服务与桌面交互」，在Windows Vista及以上系统中仍存在环境隔离限制，无法正常访问用户上下文的资源。

• 解决方案：将服务的运行账户改为与可视化程序相同的用户账户，或配置一个具有令牌存储目录读写权限的专用账户。

4. 手动实现令牌刷新逻辑 #

绕过Google.Apis.Auth的自动流程，手动处理令牌刷新：

1. 可视化程序完成授权后，将credential.Token.RefreshToken持久化到共享配置（如数据库、XML文件）中
2. 静默程序读取刷新令牌，向https://oauth2.googleapis.com/token发送POST请求，参数包括：
   • client_id：你的GCP应用ClientId
   • client_secret：你的GCP应用ClientSecret
   • refresh_token：存储的刷新令牌
   • grant_type：固定值refresh_token
3. 解析返回的access_token，用于POP3邮箱认证

内容的提问来源于stack exchange，提问作者filippocurati