开发Web文件管理应用：能否用Node.js通过邮箱密码连接Google Drive获全权限？

结论先放前面：完全做不到。Google早在好几年前就彻底封死了第三方应用通过明文邮箱密码访问Drive（或者任何Google服务）的路子，不管是官方API还是野路子，都不被允许，而且这么干本身就属于严重的安全违规。

为什么只能用OAuth2.0？ #

• Google的安全规则强制要求所有第三方应用必须走OAuth2.0授权流程访问用户数据。这种方式根本不需要用户把密码给你的应用，而是让用户在Google官方的授权页登录，然后给你的应用颁发权限令牌，用户还能随时撤销授权，安全性拉满。
• 你提到的client_id和client_secret是OAuth2流程里的必要凭证——这是Google用来验证你这个应用合法性的东西，没法省略。任何说能绕开这一步的方法，要么是骗你的钓鱼手段，要么就是违反Google条款的黑产操作，绝对碰不得。

该怎么正确实现？ #

• 老老实实走标准OAuth2.0授权码流程：去Google Cloud Console建个项目，申请Drive API的读写权限，拿到client_id和client_secret。前端跳转到Google的授权页面，用户登录授权后，后端用授权码去交换访问令牌，之后就能用令牌调用Drive API操作文件了。
• 怕client_id和client_secret泄露？把这俩存在你的服务器端，前端只负责跳转授权页，所有令牌交换逻辑都在后端处理，别把凭证暴露给前端就行。

内容的提问来源于stack exchange，提问作者masfiwi over