Google Apps Script定时触发器在他人账户运行失败（V8环境）求助

我有一个Google Apps Script，在自己账户下运行完全正常，但部署为Web应用分享给他人后，对方账户触发基于时间的函数时会出现错误。

测试脚本 #

function doGet() {
  const triggers = ScriptApp.getProjectTriggers();

  for (var i = 0; i < triggers.length; i++) {
    const handlerFunction = triggers[i].getHandlerFunction();
    if (handlerFunction === 'myFunction') {
      ScriptApp.deleteTrigger(triggers[i]);
    }
  }
  ScriptApp.newTrigger("myFunction")
    .timeBased()
    .everyMinutes(1)
    .create();

  return HtmlService.createHtmlOutput('<h1>Trigger test installed</h1>');
}

function myFunction() {
  var email = Session.getEffectiveUser().getEmail();
  Logger.log("Hello " + email);
}

项目配置（appsscript.json） #

{
  "timeZone": "Europe/Warsaw",
  "dependencies": {},
  "exceptionLogging": "STACKDRIVER",
  "runtimeVersion": "V8",
  "webapp": {
    "executeAs": "USER_ACCESSING",
    "access": "ANYONE"
  }
}

复现步骤 #

• 在Chrome中打开Google Apps Script主页
• 创建新项目并命名为"Bug Report"
• 将上述测试脚本粘贴到编辑器并保存
• 点击「部署>新建部署」，选择Web应用类型，设置为「以访问网站的用户身份执行」，允许「任何拥有Google账户的人」访问
• 完成部署并复制生成的Web应用链接
• 在当前浏览器（登录自己的Google账户）访问该链接，完成授权后会看到"Trigger test installed"提示，返回项目日志可看到myFunction执行成功的记录
• 打开另一个浏览器（如Edge），登录其他Google账户，访问同一链接并完成授权，同样看到提示
• 返回原浏览器查看项目日志，会出现错误记录

解决方案 #

核心问题 #

当Web应用以USER_ACCESSING模式运行时，其他用户创建的定时触发器，执行时会触发权限冲突：定时触发器本质属于项目所有者的资源，执行时实际以所有者身份运行，但V8环境下的权限校验会阻止非所有者创建的触发器调用Session.getEffectiveUser()。

修复方案（保留V8运行时） #

1. 修改函数逻辑，避免权限敏感调用
   移除myFunction中对Session.getEffectiveUser()的直接调用，改用触发器的描述字段存储用户标识：

   function doGet(e) {
     const userEmail = Session.getEffectiveUser().getEmail();
     // 清理当前用户的旧触发器
     const triggers = ScriptApp.getProjectTriggers();
     for (const trigger of triggers) {
       if (trigger.getHandlerFunction() === 'myFunction' && trigger.getDescription() === userEmail) {
         ScriptApp.deleteTrigger(trigger);
       }
     }
     // 创建带用户标识的触发器
     ScriptApp.newTrigger("myFunction")
       .timeBased()
       .everyMinutes(1)
       .setDescription(userEmail)
       .create();
   
     return HtmlService.createHtmlOutput('<h1>Trigger test installed</h1>');
   }
   
   function myFunction(e) {
     // 从触发器描述获取用户邮箱
     const userEmail = e.trigger.getDescription();
     Logger.log("Hello " + userEmail);
   }
   

2. 调整Web应用执行模式（更可靠）
   将appsscript.json中的webapp.executeAs改为ME（项目所有者身份执行），这样所有触发器都由所有者创建，避免权限冲突：

   {
     "webapp": {
       "executeAs": "ME",
       "access": "ANYONE"
     }
   }
   

   同时在doGet中用Session.getActiveUser()获取访问用户的邮箱，确保触发器关联到正确用户，逻辑同上述修改后的代码。

3. 权限校验补充
   若需限制用户访问，可在doGet开头添加用户白名单校验，避免非授权用户创建触发器。

内容的提问来源于stack exchange，提问作者Misiu