完成Google身份登录后，如何通过JavaScript获取Drive API密钥？

首先明确：你没办法通过JavaScript在前端直接获取到你的API密钥。

为什么不行？ #

API密钥是你在Google Cloud控制台生成的敏感配置信息，Google设计它的初衷就是要让你保存在安全的后端环境中，不会提供任何前端可调用的接口来直接获取这个密钥——如果允许前端拉取，那密钥的安全性就完全没有保障了，任何人都能通过浏览器控制台或抓包拿到它。

正确的解决方案（避免暴露API密钥） #

既然你已经用GSI完成了用户登录，正确的做法是通过后端代理来调用Google Drive API：

• 前端通过GSI获取到用户的授权凭证（比如Access Token或ID Token）
• 前端将这个凭证发送到你自己的后端服务器
• 后端服务器使用你安全存储的API密钥，结合用户的授权凭证，去调用Google Drive API接口
• 后端把API返回的结果再转发给前端

额外提醒 #

GSI的作用是完成用户身份认证，而API密钥是用来标识你的应用并做配额限制，两者的职责是分开的。哪怕用户已经登录了你的应用，也绝对不能在前端代码中出现API密钥——前端的任何资源（包括JS代码、请求参数）都能被用户轻易查看，一旦密钥泄露，别人就能用你的配额调用API，甚至可能带来安全风险。

内容的提问来源于stack exchange，提问作者Bret Joseph