使用OAuth2调用Google Calendar FreeBusy API查询外部用户的技术咨询

• 能否使用OAuth2访问与应用运行用户无关的多个外部Google账户用户的日历？
  可以，但前提是每个外部用户都需要主动授权你的应用访问他们的日历数据。OAuth2的核心逻辑就是用户自主授权，无法绕过用户同意直接访问其数据。

• 能否调用FreeBusy API查询这些外部用户的空闲时间？
  完全可以。FreeBusy API的核心用途就是批量查询多个用户的空闲/忙碌状态，只要你持有合法的授权权限，且目标用户的日历允许被查询即可。

• 若可行，这些外部用户是否必须属于同一组织？
  不需要。不管是同一Google Workspace组织内的用户，还是普通个人Google账户用户，只要他们授权了你的应用，或者其日历设置允许公开查询（部分场景），都可以被纳入查询范围。

• 识别用户是否需要其邮箱地址？
  是的。调用FreeBusy API时，必须提供目标用户的完整邮箱地址来指定查询对象；同时在授权流程中，也需要通过邮箱关联对应的用户账户。

• 能否使用Node.js编写并部署在服务器上？
  当然可以。Google提供了官方的googleapis Node.js客户端库，完全支持在服务器端实现OAuth2授权流程和FreeBusy API调用。部署时，只要服务器具备外网访问能力、支持Node.js运行环境（比如AWS EC2、Heroku、自有服务器等）即可。

• 如何为运行FreeBusy查询的Node.js应用授予所有被查询外部用户的访问权限？
  主要有两种实现方式：

  1. 用户主动授权：引导每个外部用户完成OAuth2授权流程，同意你的应用访问其日历（仅需https://www.googleapis.com/auth/calendar.readonly只读权限即可满足FreeBusy查询需求）。授权完成后，应用会获得该用户的可刷新访问令牌，后续即可查询其空闲时间。
  2. Google Workspace域范围授权（仅限组织内部）：如果你的应用服务于某Google Workspace组织，管理员可通过域范围委派，让你的服务账户拥有访问组织内所有用户日历的权限，无需每个用户单独授权。但这种方式仅适用于同一Workspace域内的用户，外部个人账户无法使用。

另外，服务器端部署时要注意安全存储用户的刷新令牌和应用的OAuth2凭据（客户端ID、客户端密钥），避免泄露。

内容的提问来源于stack exchange，提问作者Gregory Williams