.NET应用调用Gmail API发信credential混淆触发403报错问题问询

根本原因 #

• Google .NET 官方认证库Google.Apis.Auth默认使用全局统一的Token缓存路径，未给每个账号配置独立缓存存储时，后认证的账号Token会覆盖之前的缓存，发信时读取到错误账号的凭证就会出现串号、403未认证报错
• Google近期调整了OAuth缓存的优先级规则，本地存在有效缓存时会直接读取跳过主动认证流程，因此不会再弹出身份认证弹窗

修复步骤 #

• 调整认证逻辑，每个Gmail账号必须配置独立的Token存储目录，同时传入对应邮箱作为唯一用户标识，参考代码：

// 为每个账号生成独立的缓存目录，避免互相覆盖
var cacheDir = Path.Combine("GmailCache", Convert.ToHexString(MD5.HashData(Encoding.UTF8.GetBytes(currentSendEmail))));
// 读取当前账号专属的credential文件
using var credStream = new FileStream(currentCredentialJsonPath, FileMode.Open, FileAccess.Read);
var credential = await GoogleWebAuthorizationBroker.AuthorizeAsync(
    GoogleClientSecrets.Load(credStream).Secrets,
    new[] { GmailService.Scope.GmailSend },
    currentSendEmail, // 必须传入当前发件人邮箱作为用户标识，不可写死固定值
    CancellationToken.None,
    new FileDataStore(cacheDir, fullPath: true) // 传入独立缓存目录
);

• 清理历史全局缓存，Windows系统默认缓存路径为%APPDATA%\Google\Credentials，Mac/Linux路径为~/.google/credentials，删除该目录下所有缓存文件后重启应用，触发首次认证即可正常弹出各账号的认证窗口
• 发信前增加校验逻辑，调用credential.GetUserInfoAsync()获取当前凭证绑定的邮箱，和预期发件人比对，不一致时主动清空对应缓存目录触发重新认证
• 无UI服务端环境不要使用GoogleWebAuthorizationBroker进行认证，提前为每个账号生成永久刷新令牌，发信时直接用刷新令牌换Access Token调用接口即可

内容的提问来源于stack exchange，提问作者Kim Van Vlasselaer