Android无后端应用调用Google Photos Library API无需CLIENT_SECRET方案咨询

为什么Android应用没有Client Secret？ #

Android应用属于公共客户端（Public Client），这类客户端无法安全存储敏感的Client Secret，因此谷歌控制台不会为Android类型的OAuth 2.0客户端ID提供Client Secret，下载的配置JSON里也不会包含client_secret字段——这是正常的产品设计，并非操作遗漏。

无需Client Secret的Credential获取方案 #

你不需要手动构建带Client Secret的UserCredentials，直接使用Google Sign-In流程中获取的已授权凭证即可，具体实现步骤如下：

1. 配置权限与Google Sign-In #

先在谷歌控制台的OAuth同意屏幕中，添加Photos Library的目标权限（比如https://www.googleapis.com/auth/photoslibrary读写权限，或https://www.googleapis.com/auth/photoslibrary.readonly只读权限），再在Android项目的Google Sign-In配置中声明这些权限。

2. 通过GoogleSignIn获取可用Credential #

利用Google Sign-In API获取登录用户的账户信息，再直接生成可用于Photos Library API的凭证，无需Client Secret：

import com.google.android.gms.auth.GoogleAuthUtil
import com.google.android.gms.auth.api.signin.GoogleSignIn
import com.google.android.gms.auth.api.signin.GoogleSignInAccount
import com.google.android.gms.auth.api.signin.GoogleSignInOptions
import com.google.photos.library.v1.PhotosLibraryClient
import com.google.photos.library.v1.PhotosLibrarySettings
import com.google.auth.oauth2.UserCredentials
import com.google.auth.oauth2.AccessToken
import java.util.concurrent.Executors

// 初始化GoogleSignIn配置，包含Photos Library权限
val gso = GoogleSignInOptions.Builder(GoogleSignInOptions.DEFAULT_SIGN_IN)
    .requestScopes(com.google.android.gms.common.api.Scope("https://www.googleapis.com/auth/photoslibrary"))
    .requestEmail()
    .build()

val googleSignInClient = GoogleSignIn.getClient(context, gso)

// 获取当前已登录的账户（假设已完成登录流程）
val account: GoogleSignInAccount? = GoogleSignIn.getLastSignedInAccount(context)

if (account != null) {
    // 必须在后台线程执行网络/授权操作，避免主线程ANR
    Executors.newSingleThreadExecutor().execute {
        try {
            // 获取带权限的AccessToken
            val token = GoogleAuthUtil.getToken(
                context,
                account.account,
                "oauth2:https://www.googleapis.com/auth/photoslibrary"
            )
            
            // 仅传入Client ID和AccessToken即可创建有效Credential
            val credentials = UserCredentials.newBuilder()
                .setClientId("你的Android客户端ID")
                .setAccessToken(AccessToken(token, null))
                .build()
            
            // 初始化PhotosLibraryClient
            val settings = PhotosLibrarySettings.newBuilder()
                .setCredentialsProvider(FixedCredentialsProvider.create(credentials))
                .build()
            
            val client = PhotosLibraryClient.initialize(settings)
            // 至此可正常使用client调用谷歌相册API
        } catch (e: Exception) {
            // 处理授权失败、token获取异常等情况
            e.printStackTrace()
        }
    }
}

核心注意点 #

• 无需设置setClientSecret：Android作为公共客户端，UserCredentials允许仅通过Client ID和AccessToken完成初始化。
• 权限必须匹配：Sign-In时请求的权限要和后续API调用所需权限一致，否则token会因权限不足被拒绝。
• 后台执行：所有涉及网络和授权的操作必须放在后台线程，不能在主线程执行。

内容的提问来源于stack exchange，提问作者ninhnau19