Python应用无头环境下Google API认证问题（含共享盘访问需求）

针对你的Python应用在无头SSH机器上无法完成浏览器授权的问题，有两种可靠的程序化解决方案：

方案一：离线生成授权凭证，迁移至无头机器 #

这种方法利用本地有浏览器的机器完成一次授权，将生成的持久化凭证文件传到无头机器，后续应用可自动复用凭证（包括自动刷新）：

1. 在本地机器生成凭证文件
   运行包含以下逻辑的代码（本地机器需有浏览器）：

   from google.oauth2.credentials import Credentials
   from google_auth_oauthlib.flow import InstalledAppFlow
   from google.auth.transport.requests import Request
   import os
   
   # 替换为你的权限范围
   SCOPES = ['https://www.googleapis.com/auth/spreadsheets.readonly', 'https://www.googleapis.com/auth/drive.readonly']
   CLIENT_SECRET_FILE = 'client_secrets.json'
   TOKEN_FILE = 'token.json'
   
   creds = None
   # 读取已有的token文件
   if os.path.exists(TOKEN_FILE):
       creds = Credentials.from_authorized_user_file(TOKEN_FILE, SCOPES)
   # 处理凭证过期或不存在的情况
   if not creds or not creds.valid:
       if creds and creds.expired and creds.refresh_token:
           creds.refresh(Request())
       else:
           # 本地运行时自动打开浏览器完成授权
           flow = InstalledAppFlow.from_client_secrets_file(CLIENT_SECRET_FILE, SCOPES)
           creds = flow.run_local_server(port=0)
       # 保存凭证到文件
       with open(TOKEN_FILE, 'w') as token:
           token.write(creds.to_json())
   

   运行后会生成token.json文件，包含refresh_token，支持自动刷新。

2. 迁移凭证到无头机器
   使用SCP将本地的token.json和client_secrets.json传到无头机器的代码目录：

   scp token.json client_secrets.json user@your-headless-machine:/path/to/app/
   

3. 无头机器运行应用
   应用会自动读取token.json，无需再手动访问授权URL，凭证过期时会自动刷新。

方案二：使用Google服务账号（无交互认证） #

如果你的Google表格和共享盘允许服务账号访问，这是完全无交互的最优方案：

1. 创建并配置服务账号

   • 登录Google Cloud控制台，创建服务账号并下载JSON格式的密钥文件（命名为service-account-key.json）。
   • 在Google表格中，将服务账号的邮箱地址添加为协作者；在共享盘中，将服务账号添加为成员并赋予所需权限（如查看者、编辑者）。

2. 修改代码使用服务账号认证
   替换原有的InstalledAppFlow逻辑，直接用服务账号密钥初始化凭证：

   from google.oauth2.service_account import Credentials
   
   SCOPES = ['https://www.googleapis.com/auth/spreadsheets.readonly', 'https://www.googleapis.com/auth/drive.readonly']
   SERVICE_ACCOUNT_KEY_FILE = 'service-account-key.json'
   
   # 初始化服务账号凭证
   creds = Credentials.from_service_account_file(SERVICE_ACCOUNT_KEY_FILE, scopes=SCOPES)
   
   # 后续使用creds初始化Sheets和Drive客户端
   # 例如：sheets_service = build('sheets', 'v4', credentials=creds)
   

   此方案无需任何用户交互，直接在无头机器运行即可。

注意事项 #

• 方案一中的token.json需妥善保管，包含敏感的refresh_token，不要泄露。
• 方案二中的服务账号权限需最小化，仅授予应用所需的权限范围，避免过度授权。

内容的提问来源于stack exchange，提问作者Laurent Claessens