.NET环境下使用Google.Apis.Drive.v3如何通过PKCE实现登录？

前置说明 #

Google.Apis.Drive.v3依赖的Google.Apis.Auth认证包原生支持PKCE，无需额外引入第三方依赖。桌面端属于公开客户端范畴，本身就不需要存储客户端密钥，仅靠客户端ID配合PKCE即可完成安全认证。 #

实现步骤 #

1. 前期准备 #

• Google Cloud控制台创建OAuth 2.0客户端ID时，应用类型选择桌面应用，生成后仅需记录客户端ID，不需要保存生成的客户端密钥
• 安装必要Nuget包：Google.Apis.Drive.v3、对应平台的认证扩展包（WinForm/WPF选Google.Apis.Auth.Win，macOS选Google.Apis.Auth.Mac）

2. 核心认证代码 #

using Google.Apis.Auth.OAuth2;
using Google.Apis.Drive.v3;
using Google.Apis.Services;
using Google.Apis.Util.Store;

// 基础配置
const string ClientId = "你在Google Cloud生成的桌面端客户端ID";
// 权限范围可按需调整，示例为Drive全量读写权限
string[] Scopes = { DriveService.Scope.Drive };
const string AppName = "你的桌面应用名称";

// 初始化认证，PKCE逻辑由包内部自动实现，无需手动生成校验参数
UserCredential credential = await GoogleWebAuthorizationBroker.AuthorizeAsync(
    new ClientSecrets
    {
        ClientId = ClientId,
        // 此处无需传入客户端密钥，留空即可
        ClientSecret = string.Empty
    },
    Scopes,
    "default_user",
    CancellationToken.None,
    new FileDataStore(AppName, true));

// 初始化Drive服务实例，可直接调用接口操作资源
var driveService = new DriveService(new BaseClientService.Initializer()
{
    HttpClientInitializer = credential,
    ApplicationName = AppName,
});

3. PKCE生效验证 #

GoogleWebAuthorizationBroker针对公开客户端会自动生成code_verifier和code_challenge，默认使用S256哈希算法，你可以通过抓包查看授权请求参数中是否携带code_challenge、code_challenge_method字段，确认PKCE已正常启用。 #

常见问题排查 #

• 若认证时提示客户端类型不匹配，确认你在Google Cloud创建的是桌面应用类型的OAuth客户端ID，不要使用Web应用、移动端类型的ID
• FileDataStore会自动缓存刷新令牌，下次启动应用无需重复登录，缓存存储路径可根据需求自定义替换

内容的提问来源于stack exchange，提问作者Alejandro