如何实现Gmail API多账号无交互自动授权以定时读取邮件？

问题背景 #

使用Gmail API读取邮件时，多账号登录场景下需手动选择账号，仅单账号登录时可自动授权。需适配Cron Job无交互运行，实现多账号自动授权。

核心解决思路 #

Cron Job属于无交互环境，无法手动选择账号，因此需采用预生成持久化刷新令牌（普通Gmail账号）或域范围服务账号授权（Google Workspace账号）两种方案，以下分别说明：

方案1：预生成持久化刷新令牌（适用于普通Gmail账号） #

为每个账号在有交互环境下完成一次授权，保存包含刷新令牌的凭证文件，后续Cron Job直接加载对应账号的凭证自动刷新令牌。

修改后的代码实现

public GmailService GetGmailService(string userEmail, string credentialFilePath, string tokenStorePath)
{
    // 加载客户端密钥文件
    using (var stream = new FileStream(credentialFilePath, FileMode.Open, FileAccess.Read))
    {
        var clientSecrets = GoogleClientSecrets.Load(stream).Secrets;
        
        // 配置授权流，每个账号单独存储令牌文件
        var flow = new GoogleAuthorizationCodeFlow(new GoogleAuthorizationCodeFlow.Initializer
        {
            ClientSecrets = clientSecrets,
            Scopes = new[] { GmailService.Scope.MailGoogleCom },
            DataStore = new FileDataStore(Path.Combine(tokenStorePath, userEmail), true)
        });

        // 尝试加载已保存的令牌
        var token = flow.LoadTokenAsync(userEmail, CancellationToken.None).Result;
        
        // 首次运行无令牌时，需在交互环境下完成授权（仅执行一次）
        if (token == null)
        {
            var authorizationCode = GetAuthorizationCode(clientSecrets, flow);
            token = flow.ExchangeCodeForTokenAsync(userEmail, authorizationCode, "", CancellationToken.None).Result;
        }

        var credential = new UserCredential(flow, userEmail, token);
        
        // 自动刷新过期令牌
        if (credential.Token.IsExpired(flow.Clock))
        {
            credential.RefreshTokenAsync(CancellationToken.None).Wait();
        }

        return new GmailService(new BaseClientService.Initializer()
        {
            HttpClientInitializer = credential,
            ApplicationName = "你的应用名称",
        });
    }
}

// 首次授权获取授权码（仅在交互环境下运行一次）
private string GetAuthorizationCode(ClientSecrets clientSecrets, GoogleAuthorizationCodeFlow flow)
{
    var url = flow.CreateAuthorizationCodeRequest("").Build();
    Console.WriteLine($"请访问以下链接授权：{url}");
    Console.WriteLine("输入授权码：");
    return Console.ReadLine();
}

使用说明

1. 为每个账号在本地有交互环境下调用GetGmailService，完成一次授权并保存令牌文件
2. Cron Job运行时，直接传入对应账号的邮箱、客户端密钥路径和令牌存储路径，即可自动授权，无需手动选择

方案2：域范围服务账号授权（适用于Google Workspace账号） #

若你是Google Workspace管理员，可使用服务账号模拟域内任意用户，无需为每个账号单独授权：

代码实现

public GmailService GetGmailServiceForWorkspace(string userEmail, string serviceAccountKeyPath)
{
    var credential = GoogleCredential.FromFile(serviceAccountKeyPath)
        .CreateScoped(new[] { GmailService.Scope.MailGoogleCom })
        .CreateWithUser(userEmail);

    return new GmailService(new BaseClientService.Initializer()
    {
        HttpClientInitializer = credential,
        ApplicationName = "你的应用名称",
    });
}

配置步骤

1. 在Google Cloud控制台创建服务账号，下载JSON密钥文件
2. 在Google Workspace管理控制台，为该服务账号启用域范围授权，并授予https://mail.google.com/权限
3. 代码中传入域内用户邮箱和服务账号密钥路径，即可直接模拟该用户访问Gmail API

内容的提问来源于stack exchange，提问作者AmitD