Google Calendar API本地授权正常但Heroku部署Django应用授权失败如何解决

• 你当前使用的InstalledAppFlow是专门面向桌面端、CLI这类本地运行的应用设计的授权流程，依赖本地环境启动临时HTTP服务+拉起浏览器完成授权，服务器无GUI环境下完全无法正常走通
• Heroku采用临时文件系统，你将授权凭证存储在token.pickle本地文件中，应用重启、部署更新后文件会直接丢失，即使你手动生成了token也无法持久化

方案1：切换为Web应用授权流（推荐，适配Django Web场景） #

适合需要让每个登录用户绑定自己的Google日历的场景：

1. 调整Google Cloud后台配置：
   进入Google API控制台，将当前OAuth客户端的应用类型从「桌面应用」修改为「Web应用」，确认你的Heroku应用域名对应的重定向URI已经正确添加，格式为https://<你的Heroku应用域名>/google-calendar/callback这类自定义回调地址
2. 改写授权逻辑，弃用run_local_server：
   新增两个Django路由，一个用于跳转Google授权页，一个用于接收授权回调的code换取凭证，凭证不要存在本地文件，存入Django数据库或者Heroku配置存储服务中。
   核心代码示例：

# 授权跳转视图
def google_calendar_auth(request):
    flow = Flow.from_client_secrets_file(
        CREDENTIALS_FILE,
        scopes=SCOPES,
        redirect_uri=request.build_absolute_uri(reverse('google_calendar_callback'))
    )
    auth_url, state = flow.authorization_url(
        access_type='offline',
        include_granted_scopes='true'
    )
    request.session['google_auth_state'] = state
    return redirect(auth_url)

# 回调处理视图
def google_calendar_callback(request):
    state = request.session.pop('google_auth_state', None)
    flow = Flow.from_client_secrets_file(
        CREDENTIALS_FILE,
        scopes=SCOPES,
        state=state,
        redirect_uri=request.build_absolute_uri(reverse('google_calendar_callback'))
    )
    flow.fetch_token(authorization_response=request.get_full_path())
    creds = flow.credentials
    # 自行实现逻辑：将creds的refresh_token、access_token、expiry等字段存入数据库
    save_creds_to_db(request.user, creds)
    return redirect('业务页面路由')

# 改造原有服务获取逻辑
def get_calendar_service(user):
    # 自行实现逻辑：从数据库读取对应用户的授权凭证
    creds = get_creds_from_db(user)
    if not creds or not creds.valid:
        if creds and creds.expired and creds.refresh_token:
            creds.refresh(Request())
            # 刷新后更新数据库中的凭证
            update_creds_to_db(user, creds)
        else:
            # 无有效凭证，返回跳转授权的标识
            return None
    return build('calendar', 'v3', credentials=creds)

方案2：临时应急方案（仅适用于全应用共用同一个Google日历账号的场景） #

如果不需要多用户独立绑定日历，仅用固定账号操作日历，可以本地提前生成授权凭证：

1. 本地运行原有代码走完授权流程，拿到可用的token.pickle文件
2. 将pickle文件内容编码为base64字符串，存入Heroku的环境变量，不要直接部署pickle文件到服务器
3. 代码调整为从环境变量读取凭证，避免依赖本地文件：

import base64
import os
import pickle

def get_calendar_service():
    creds = None
    token_b64 = os.getenv('GOOGLE_CALENDAR_TOKEN_B64')
    if token_b64:
        creds = pickle.loads(base64.b64decode(token_b64))
    
    if not creds or not creds.valid:
        if creds and creds.expired and creds.refresh_token:
            creds.refresh(Request())
            # 刷新后可将新的凭证重新编码更新到数据库/环境变量
        else:
            raise Exception("无有效Google日历授权凭证，请先本地生成并配置环境变量")
    
    return build('calendar', 'v3', credentials=creds)

• 处于测试状态的OAuth应用生成的refresh_token有效期只有7天，你需要将OAuth应用发布为正式状态（无需谷歌审核也可生效），才能拿到长期有效的refresh_token
• 所有敏感信息包括credentials.json的内容、token凭证都不要提交到代码仓库，统一走环境变量配置

内容的提问来源于stack exchange，提问作者elinola853