如何通过Firebase云函数代表用户调用Google Drive API？

要实现代表你控制的用户调用Drive API（让创建的文件归该用户所有），核心是用服务账号的域范围委派（Domain-Wide Delegation），前提是目标用户属于你的Google Workspace（原G Suite）域。下面是具体操作步骤：

1. 配置域范围委派 #

• 登录Google Cloud控制台，找到Firebase项目对应的服务账号（通常格式为firebase-adminsdk-xxx@你的项目.iam.gserviceaccount.com），进入详情页后点击编辑，勾选启用G Suite域范围委派，保存后记下页面上的客户端ID。
• 登录Google Workspace管理员控制台，进入安全 > API控制 > 域范围委派，点击添加新的客户端ID，填入刚才的客户端ID，再添加所需的Drive API权限（比如https://www.googleapis.com/auth/drive.file或https://www.googleapis.com/auth/drive，根据实际需求选择），最后指定允许模拟的用户（单个邮箱或整个域均可）。

2. 修改云函数认证代码 #

替换原来的getClient方式，改用JWT客户端模拟目标用户：

import { google } from 'googleapis';

export const yourCloudFunction = async (req, res) => {
  // 要代表的目标用户邮箱
  const targetUser = 'user@your-domain.com';

  // 初始化JWT认证客户端
  const auth = new google.auth.JWT({
    // 从云函数环境变量读取服务账号信息（Firebase自动注入相关变量）
    email: process.env.GOOGLE_APPLICATION_CREDENTIALS_CLIENT_EMAIL,
    key: process.env.GOOGLE_APPLICATION_CREDENTIALS_PRIVATE_KEY.replace(/\\n/g, '\n'), // 处理私钥的换行转义
    scopes: [
      'https://www.googleapis.com/auth/drive.file', // 根据需求调整权限范围
    ],
    subject: targetUser, // 关键参数：指定要模拟的用户
  });

  // 完成认证
  await auth.authorize();

  // 初始化Drive API客户端
  const driveAPI = google.drive({ version: 'v3', auth });

  // 示例：创建文件，所有者为targetUser
  try {
    const newFile = await driveAPI.files.create({
      requestBody: {
        name: '目标用户所有的文件',
        parents: ['目标文件夹ID'], // 可选：指定文件存放的父文件夹
      },
      media: {
        mimeType: 'text/plain',
        body: '文件内容示例',
      },
    });

    res.status(200).send(`文件创建成功，ID：${newFile.data.id}`);
  } catch (error) {
    res.status(500).send(`创建失败：${error.message}`);
  }
};

注意事项 #

• 普通Gmail账号无法使用域范围委派功能，必须是Google Workspace域下的账号。
• 权限范围遵循最小原则，不要申请超出实际需求的权限，比如仅创建文件用drive.file即可，若需修改文件所有权则需更宽的drive权限。
• 服务账号私钥在环境变量中要正确处理换行符，否则会导致认证失败。

内容的提问来源于stack exchange，提问作者ErikWittern