如何让Gmail API PHP CLI应用支持自定义域内任意用户（无需server-wide delegation）

首先明确：因为你没有Google Workspace（原GSuite）的全局控制权，无法配置域范围委派，所以服务账号的批量访问方式对你来说不可行。这种情况下，唯一可行的方案是让每个域名用户单独完成OAuth 2.0授权，获取他们的离线访问凭证（refresh token），之后通过这些凭证来访问各自的邮箱数据。

具体实现步骤 #

1. 调整OAuth授权流程以支持离线访问 #

在你的PHP CLI应用中，需要实现OAuth 2.0的授权码流程，并请求offline访问权限，这样才能获取到长期有效的refresh token。

• 当用户首次使用时，引导他们打开生成的授权链接（CLI可以输出链接让用户复制到浏览器），完成登录授权后，应用会收到一个授权码。
• 用这个授权码交换得到access_token（短期有效，约1小时）和refresh_token（长期有效，除非用户撤销授权或token过期）。
• 将refresh_token和对应的用户邮箱关联存储（比如数据库、配置文件），后续就可以用这个refresh token反复获取新的access token，无需用户再次授权。

2. 修改你的CLI应用以支持多用户凭证 #

针对你提供的示例代码，需要调整CustomClassUsingGmailAPI，让它能够根据不同用户加载对应的refresh token，并动态获取access token。

示例调整后的代码逻辑：

// 假设你有一个存储（比如数据库）保存了用户邮箱和对应的refresh token
$userRefreshTokens = [
    "email1@customdomain" => "USER1_REFRESH_TOKEN_HERE",
    "email2@customdomain" => "USER2_REFRESH_TOKEN_HERE"
];

$gmailClient = new CustomClassUsingGmailAPI();
$targetEmails = ["email1@customdomain", "email2@customdomain"];

foreach ($targetEmails as $email) {
    // 获取当前用户的refresh token
    $refreshToken = $userRefreshTokens[$email];
    
    // 用refresh token刷新获取新的access token
    $accessToken = $gmailClient->refreshAccessToken($refreshToken);
    
    // 为当前用户设置有效access token
    $gmailClient->setActiveAccessToken($accessToken);
    
    // 执行邮件检查任务：此时Gmail API中的'me'会自动映射到当前授权的用户
    $gmailClient->doTheRequiredTask();
}

3. 关键注意事项 #

• 权限范围：确保你请求的OAuth权限范围符合需求，比如仅需要检查邮件的话，请求https://www.googleapis.com/auth/gmail.readonly即可，遵循最小权限原则。
• Refresh Token有效性：Google的refresh token如果长期未被使用（超过6个月）可能会失效，此时需要用户重新授权。如果你的应用定期运行，这个问题基本可以避免。
• 用户数据隔离：每个用户的refresh token只能访问自己的邮箱数据，完全符合数据安全规范，也不需要你拥有域名的全局控制权。

为什么不能直接指定用户邮箱？ #

Gmail API中，当使用普通用户的OAuth凭证时，me是唯一合法的用户标识符，它代表当前授权的用户。你无法通过指定其他用户邮箱来跨用户访问，除非你拥有域范围委派权限（而这正是你没有的）。所以必须为每个用户单独授权，获取他们自己的凭证。

内容的提问来源于stack exchange，提问作者Chinni Srikar