如何绕过Apps Script API不支持服务账号的限制？

虽然Apps Script API本身不支持服务账号认证，但有几种实用的替代方案可以解决这个问题：

• 域范围内的用户模拟（仅适用于Google Workspace域环境）
  如果你的服务账号归属某个Google Workspace域，可以在域管理控制台开启域范围授权，让服务账号模拟域内的普通用户身份来调用Apps Script API。具体操作是在Google Admin控制台的“API控件”中，给服务账号添加对Apps Script API的权限，并指定可模拟的用户范围。代码层面，你需要在创建认证凭证时指定subject参数为目标用户的邮箱，比如Python中：

  from google.oauth2 import service_account
  
  SCOPES = ['https://www.googleapis.com/auth/script.projects']
  SERVICE_ACCOUNT_FILE = 'path/to/service-account-key.json'
  
  credentials = service_account.Credentials.from_service_account_file(
      SERVICE_ACCOUNT_FILE, scopes=SCOPES, subject='user@your-domain.com')
  

  这种方式相当于让服务账号以域内用户的身份操作，绕过了API对服务账号的限制。

• 将脚本部署为Web App，通过HTTP请求调用
  把你的Apps Script脚本部署为Web App，设置访问权限为“域内任何人”或“任何人（需登录）”，然后服务账号可以通过OAuth2认证后直接发送HTTP请求到Web App的URL。这种方式不需要调用Apps Script API，而是直接触发Web App的执行逻辑。需要注意的是，要做好请求的安全验证，比如在Web App中检查请求的认证信息，避免未授权访问。

• 迁移逻辑到Google Cloud Functions
  如果你的业务逻辑允许，可以把Apps Script中的核心功能迁移到Google Cloud Functions。Cloud Functions完全支持服务账号认证，服务账号可以直接调用其API执行逻辑。如果必须保留部分Apps Script的功能，也可以让Cloud Functions作为中间层，用普通用户的OAuth凭证调用Apps Script API，服务账号只需要认证访问Cloud Functions即可。

内容的提问来源于stack exchange，提问作者Khuyen Ho