如何使用服务账号而非OAuth Client ID配置Gmail API

Gmail API 完全支持通过服务账号完成初始化调用，无需创建OAuth Client ID，不过该方案仅适用于Google Workspace（原G Suite）企业账号，个人免费版Gmail不支持服务账号对接。

前置配置步骤 #

• 在Google Cloud控制台创建服务账号，下载JSON格式的密钥文件到本地
• 为该服务账号开启「全域权限委派（Domain Wide Delegation）」
• 登录Google Workspace管理后台，为服务账号授权所需的Gmail API作用域（比如示例中用到的https://www.googleapis.com/auth/gmail.labels，其他操作按需添加对应scope）

Java实现代码 #

首先确保项目引入了所需依赖：

<!-- 谷歌认证库 -->
<dependency>
    <groupId>com.google.auth</groupId>
    <artifactId>google-auth-library-oauth2-http</artifactId>
    <version>替换为最新稳定版即可</version>
</dependency>
<!-- Gmail API库 -->
<dependency>
    <groupId>com.google.apis</groupId>
    <artifactId>google-api-services-gmail</artifactId>
    <version>v1-rev20220404-2.0.0</version>
</dependency>

服务账号初始化Gmail客户端的核心代码如下，逻辑和你提供的Cloud Storage初始化逻辑一致：

import com.google.api.client.googleapis.javanet.GoogleNetHttpTransport;
import com.google.api.client.json.jackson2.JacksonFactory;
import com.google.api.services.gmail.Gmail;
import com.google.api.services.gmail.GmailScopes;
import com.google.auth.http.HttpCredentialsAdapter;
import com.google.auth.oauth2.GoogleCredentials;
import java.io.FileInputStream;
import java.io.IOException;
import java.security.GeneralSecurityException;
import java.util.Collections;
import java.util.List;

public class GmailServiceAccountDemo {
    private static final String SERVICE_ACCOUNT_JSON_PATH = "你的服务账号密钥文件路径";
    private static final String APPLICATION_NAME = "你的应用名称";
    // 替换为你要操作的Google Workspace下的具体用户邮箱
    private static final String IMPERSONATE_USER_EMAIL = "xxx@你的企业域名.com";
    // 按需配置所需的Gmail权限作用域
    private static final List<String> SCOPES = Collections.singletonList(GmailScopes.GMAIL_LABELS);

    public static void main(String[] args) throws IOException, GeneralSecurityException {
        // 加载服务账号凭证
        GoogleCredentials credentials = GoogleCredentials.fromStream(new FileInputStream(SERVICE_ACCOUNT_JSON_PATH))
                .createScoped(SCOPES)
                // 模拟指定用户身份，服务账号本身没有Gmail权限，必须指定要操作的用户
                .createDelegated(IMPERSONATE_USER_EMAIL);

        // 初始化Gmail客户端
        Gmail service = new Gmail.Builder(
                GoogleNetHttpTransport.newTrustedTransport(),
                JacksonFactory.getDefaultInstance(),
                new HttpCredentialsAdapter(credentials))
                .setApplicationName(APPLICATION_NAME)
                .build();

        // 后续调用逻辑和OAuth Client ID方案完全一致
        String user = "me";
        var listResponse = service.users().labels().list(user).execute();
        var labels = listResponse.getLabels();
        if (labels.isEmpty()) {
            System.out.println("No labels found.");
        } else {
            System.out.println("Labels:");
            for (var label : labels) {
                System.out.printf("- %s\n", label.getName());
            }
        }
    }
}

注意事项 #

• 个人免费Gmail账号无法使用该方案，必须属于Google Workspace组织
• Google Workspace后台授权的作用域必须和代码中声明的SCOPES完全一致，否则会触发权限报错
• 服务账号的JSON密钥属于高敏感信息，禁止提交到公开代码仓库，生产环境建议通过密钥管理服务存储，不要明文写在配置文件中

内容的提问来源于stack exchange，提问作者Plamen Natchev