C# ASP.NET调用Google GmailAPI发邮件遇授权及路径访问报错求助

问题根因 #

你当前使用的两套Gmail API授权实现，都是面向桌面/控制台应用的设计，完全不匹配ASP.NET服务端的运行场景，因此触发两个报错：

• 第一个报错Failed to launch browser with...：你用到的GoogleWebAuthorizationBroker.AuthorizeAsync方法是为桌面端设计的，会主动调用服务器本地的浏览器打开授权页面，而ASP.NET运行在无GUI的服务端后台，根本无法弹出浏览器完成授权，因此直接启动失败。
• 第二个报错Access to the path 'C:\Windows\system32\config\systemprofile' is denied：同样是上述默认授权方法，会自动将获取到的refresh token缓存到当前运行进程身份的用户目录下，ASP.NET应用池默认使用LocalSystem、NetworkService等系统内置账号运行，这些账号的用户目录默认没有读写权限，因此触发路径访问拒绝。

可行解决方案 #

方案一：使用服务账号授权（推荐，适合服务端后台自动发邮件场景，无需用户交互） #

这种方案是服务端应用调用Gmail API的最优选择，不需要人工参与授权流程。

1. 进入Google Cloud控制台，创建服务账号，为该账号启用Gmail API，生成服务账号的JSON密钥文件（不要使用之前的桌面应用OAuth客户端ID）。
2. 如果你需要代表组织内的具体邮箱发送邮件，需要在Google Workspace后台为该服务账号开启全域权限委托，授权https://www.googleapis.com/auth/gmail.send权限范围。
3. 代码示例：

using Google.Apis.Auth.OAuth2;
using Google.Apis.Gmail.v1;
using Google.Apis.Services;
using System.IO;
using MimeKit;
using Google.Apis.Gmail.v1.Data;

// 加载服务账号密钥
GoogleCredential credential;
using (var stream = new FileStream("你的服务账号密钥文件路径.json", FileMode.Open, FileAccess.Read))
{
    credential = GoogleCredential.FromStream(stream)
        .CreateScoped(GmailService.Scope.GmailSend)
        // 开启全域委托后才可填写该参数，代表指定邮箱发信
        .CreateWithUser("发件用的邮箱地址@你的域名.com");
}

// 初始化Gmail服务客户端
var gmailService = new GmailService(new BaseClientService.Initializer()
{
    HttpClientInitializer = credential,
    ApplicationName = "你的应用名称"
});

// 构造邮件内容（用MimeKit简化邮件格式处理）
var mailMessage = new MimeMessage();
mailMessage.From.Add(new MailboxAddress("发件人显示名", "发件人邮箱"));
mailMessage.To.Add(new MailboxAddress("收件人显示名", "收件人邮箱"));
mailMessage.Subject = "测试邮件主题";
mailMessage.Body = new TextPart("plain")
{
    Text = "测试邮件内容"
};

// 转换为Gmail API要求的Base64Url格式
var gmailApiMessage = new Message
{
    Raw = Base64UrlEncode(mailMessage.ToString())
};

// 执行发送
gmailService.Users.Messages.Send(gmailApiMessage, "me").Execute();

// Base64Url编码辅助方法
private static string Base64UrlEncode(string input)
{
    var byteData = System.Text.Encoding.UTF8.GetBytes(input);
    return Convert.ToBase64String(byteData)
        .Replace('+', '-')
        .Replace('/', '_')
        .Replace("=", "");
}

方案二：使用Web应用OAuth授权（适合需要用户手动授权自己邮箱发信的场景） #

如果你确实需要让每个用户授权自己的Gmail邮箱发信，不要使用默认的桌面端授权类：

1. 在Google Cloud控制台创建OAuth客户端ID时，应用类型选择「Web应用」，将你ASP.NET应用的授权回调地址配置到重定向URI列表中。
2. 自行实现OAuth授权跳转、回调逻辑，拿到授权码后兑换access token和refresh token，将token存储到你自己的数据库/配置文件中，不要依赖客户端库默认的本地缓存逻辑。

注意事项 #

• 禁止在ASP.NET项目中使用GoogleWebAuthorizationBroker.AuthorizeAsync方法，该方法仅适用于桌面/控制台应用场景。
• 密钥文件不要存放在网站可公开访问的目录下，建议放到网站根目录之外的路径，或使用环境变量存储密钥信息，避免密钥泄露。

内容的提问来源于stack exchange，提问作者Pollawat Mannat