解决Google Calendar API生产环境无法创建事件的问题

问题背景 #

• 本地环境按Google官方文档实现的Calendar API创建事件功能正常运行，生产环境无法工作。
• 已排查：确认API控制台权限配置正确，尝试过相关代码调整但无效，未使用pickle存储凭证。
• 当前现象：生产环境终端输出Please visit this URL to authorize this application，尝试在服务器端打开浏览器，而非引导用户端完成授权；推测生产环境授权流程执行失败，fallback到本地的InstalledAppFlow流程。重定向URL配置为myurl.com/calendar/，指向业务页面。

核心问题诊断 #

1. 生产环境授权流程未闭环：仅生成了授权URL，但未将其返回给前端引导用户访问，也未处理回调后的授权码交换逻辑。
2. 环境判断逻辑错误：用try-except顺序执行两个流程，即使生产流程成功，本地流程仍会执行，导致逻辑混乱。

修复方案 #

1. 明确环境区分逻辑 #

通过环境变量直接判断运行环境，避免try-except的不可控fallback：

import os

# 从环境变量读取当前环境，生产环境需提前设置 ENV=production
ENV = os.getenv('ENV', 'development')

2. 完善生产环境授权码流程 #

生产环境必须使用OAuth2授权码流程，分两步实现：

步骤1：生成授权URL并返回给前端

SCOPES = ['https://www.googleapis.com/auth/calendar']

if ENV == 'production':
    flow = google_auth_oauthlib.flow.Flow.from_client_secrets_file(
        '/secrets/secret-location/credentials.json', 
        SCOPES
    )
    # 重定向URL必须是完整HTTPS地址，且已在Google API控制台配置
    flow.redirect_uri = "https://myurl.com/calendar/"
    authorization_url, state = flow.authorization_url(
        access_type='offline',  # 获取refresh_token，用于凭证刷新
        include_granted_scopes='true'
    )
    # 将state存入用户会话（如Flask的session），用于回调时验证CSRF
    session['oauth_state'] = state
    # 重定向用户到Google授权页面（根据你的Web框架调整返回方式）
    return redirect(authorization_url)

步骤2：处理授权回调，交换获取凭证

在https://myurl.com/calendar/对应的接口中处理Google的回调请求：

from google.auth.transport.requests import Request
from googleapiclient.discovery import build

# 从请求参数中获取授权码和state
code = request.args.get('code')
received_state = request.args.get('state')

# 验证state一致性，防止CSRF攻击
if received_state != session.get('oauth_state'):
    abort(403)

flow = google_auth_oauthlib.flow.Flow.from_client_secrets_file(
    '/secrets/secret-location/credentials.json', 
    SCOPES,
    state=received_state
)
flow.redirect_uri = "https://myurl.com/calendar/"

# 用授权码交换获取访问凭证和刷新凭证
flow.fetch_token(code=code)
creds = flow.credentials

# 生产环境建议将凭证关联用户ID存储到数据库/缓存，而非本地文件
# 示例：save_user_credentials(current_user.id, creds.to_json())

# 凭证验证通过后，继续执行创建日历事件逻辑
service = build('calendar', 'v3', credentials=creds)
# ... 事件创建代码

3. 修正本地环境流程 #

仅在开发环境执行InstalledAppFlow：

if ENV == 'development':
    creds = None
    if os.path.exists('../token.json'):
        creds = Credentials.from_authorized_user_file('../token.json', SCOPES)
    if not creds or not creds.valid:
        if creds and creds.expired and creds.refresh_token:
            creds.refresh(Request())
        else:
            flow = InstalledAppFlow.from_client_secrets_file(
                '../credentials.json', 
                SCOPES
            )
            creds = flow.run_local_server(port=0)
            with open('../token.json', 'w') as token:
                token.write(creds.to_json())
    service = build('calendar', 'v3', credentials=creds)
    # ... 事件创建代码

4. 关键配置检查 #

• 重定向URL：必须是完整的https://地址，且已在Google API控制台的OAuth2客户端ID配置中添加（注意路径末尾的斜杠要一致）。
• 凭证文件权限：生产环境确保服务器能读取credentials.json的路径，且文件权限设置正确。
• 权限范围：根据实际需求选择最小权限，如需创建事件可使用https://www.googleapis.com/auth/calendar.events.create，避免过度授权。

5. 凭证存储优化 #

生产环境禁止使用本地文件存储token.json，需将用户的凭证与用户ID绑定，存储在数据库或Redis等安全存储中，避免多用户凭证冲突。

内容的提问来源于stack exchange，提问作者Olney1