多租户应用集成Google Drive/Docs的身份认证方案咨询

现有方案的问题 #

你当前使用的服务账号+桌面凭证的方案不适用于多租户场景：桌面凭证本身是为单用户桌面端应用设计的，全局共用同一个服务账号身份的话，所有上传的文件所有权都归服务账号所有，无法实现租户间的权限隔离，后续用户访问、编辑文件的权限管控也会出现混乱。

你提到的「每个用户使用专属凭证实例化DriveService」思路是完全可行的，且不存在你担心的安全问题，具体实现用Google官方推荐的OAuth 2.0 授权码流即可： #

• 第一步先在Google Cloud Console调整OAuth应用配置：如果你的应用面向所有公网用户，就发布为公开OAuth应用；如果仅服务特定Google Workspace企业客户，发布为内部应用即可。申请权限时优先选择https://www.googleapis.com/auth/drive.file最小权限，这个权限仅允许你的应用访问你替用户创建/上传的文件，不会触碰用户Drive内的其他私有文件，用户授权接受度更高，安全风险最低。
• 每个用户首次关联Google账号时，引导跳转至Google官方授权页，用户同意授权后你会拿到授权码，用授权码交换得到access_token和refresh_token，你只需要加密存储用户的refresh_token即可，access_token过期后可以用refresh_token自动无感刷新，不需要用户重复授权。只要做好refresh_token的加密存储、访问权限管控，整个流程符合Google安全规范，不存在凭证泄露的风险。
• 调用Drive API时，对每个用户单独生成其专属的DriveService实例，不要共用全局单例。这样所有你替用户上传的文件所有权都归属用户自己的Google账号，租户之间的操作、数据完全隔离，符合多租户的安全要求。

可选的企业级方案：服务账号全域委托 #

如果你的应用主要服务Google Workspace企业客户，可以选择服务账号全域委托模式，不需要终端用户单独授权：

• 由企业客户的Google Workspace管理员在自己的域后台，给你的服务账号开通Drive API对应权限，你调用API时只需要指定要模拟的企业内用户邮箱即可，不需要存储任何用户的凭证。
• 该模式天然支持企业租户级的权限隔离，不同企业的用户数据完全不会互通，适合批量部署的ToB场景。

现有代码调整建议 #

1. 删掉全局单例的Drive Bean，改为每次需要调用接口时，针对当前用户的凭证生成专属的Drive实例。
2. 上传文件的逻辑可以保留，上传时可以根据需要设置文件的共享权限，用户编辑完成后可以通过Drive API的revisions接口拉取变更记录，也可以配置Drive的推送通知，文件发生变更时Google会主动回调你的服务，不需要轮询检测。

内容的提问来源于stack exchange，提问作者Aline137