使用Google Calendar API更新事件时权限相关异常问题

现象说明 #

• PATCH请求仅部分字段生效：更新summary、end字段可成功，示例代码：

body = {
    "summary": "Update test",
    "end": {
        "dateTime": "2022-09-30T07:00:00+00:00",
    }
}

service.events().patch(calendarId=resource_email, eventId="my_event", body=body).execute()

• PATCH更新核心字段无效：更新status或recurrence字段无任何效果；全量UPDATE请求也无法修改任何字段，示例代码：

# 更新status无效果
body_1 = {
    "status": "cancelled",
}

# 更新recurrence无效果
body_2 = {
    "recurrence": ["RRULE:FREQ=DAILY;UNTIL=20221010T115709Z"],
}

service.events().patch(calendarId=resource_email, eventId="my_event", body=body_1).execute()
# 或
service.events().patch(calendarId=resource_email, eventId="my_event", body=body_2).execute()

# UPDATE请求无任何字段更新效果
my_event = service.events().get(calendarId=resource_email, eventId="my_event_id").execute()

my_event["recurrence"] = ["RRULE:FREQ=DAILY;UNTIL=20221010T115709Z"]
my_event["summary"] = "recurr update 1"

service.events().update(calendarId=resource_email, eventId="my_event_id", body=my_event).execute()

• 场景差异：
  • 管理员A1通过events.insert()创建的资源R1事件E1（组织者为R1，创建者A1）：可正常更新所有字段
  • 普通用户U1通过Calendar UI创建的资源R1事件E2（组织者、创建者均为U1）：管理员A1的令牌无法更新任何字段

核心原因 #

Google Calendar的权限控制逻辑中，资源日历的管理员权限不等于该日历内所有事件的完全修改权限，关键在于事件的所有权归属：

1. 当事件由管理员创建且组织者设为资源R1时，管理员作为创建者+资源管理者，拥有事件的完全控制权
2. 当事件由普通用户U1创建（组织者为U1）并关联到资源R1时，事件所有权属于U1。资源管理员仅拥有查看或有限修改权限（如调整标题、时间），但status、recurrence这类核心属性属于事件所有者专属修改权限，默认不开放给资源管理员
3. PATCH与UPDATE的权限校验逻辑不同：PATCH对部分非核心字段放开权限，而UPDATE会触发全量权限校验，因事件所有权不属于管理员，故全量请求失效

解决方案 #

1. 将事件组织者改为资源日历
   若需管理员完全控制事件，需将事件组织者设置为资源R1的邮箱。可让用户U1创建事件时选择资源作为组织者，或通过API调整（需U1授权管理员修改该事件）：

   service.events().patch(
       calendarId=resource_email,
       eventId="E2_event_id",
       body={"organizer": {"email": resource_email}}
   ).execute()
   

2. 授予管理员普通用户日历的修改权限
   让用户U1将其个人日历的修改权限授予管理员A1，管理员即可通过操作U1的日历修改事件（此时calendarId需指定为U1的邮箱，而非资源R1邮箱）
3. 使用全域委派（仅适用于Google Workspace域）
   企业Workspace环境下，管理员可配置全域委派，以普通用户U1的身份模拟调用API，获得事件的完全修改权限：

   from googleapiclient.discovery import build
   from google.oauth2 import service_account
   
   # 加载服务账号凭证，模拟U1身份
   credentials = service_account.Credentials.from_service_account_file(
       'service_account.json',
       scopes=['https://www.googleapis.com/auth/calendar'],
       subject='U1@yourdomain.com'
   )
   service = build('calendar', 'v3', credentials=credentials)
   
   # 此时可正常更新事件所有字段
   service.events().patch(calendarId=resource_email, eventId="E2_event_id", body=body_1).execute()
   

内容的提问来源于stack exchange，提问作者user5594493