如何获取可用于Google Workspace所有用户API调用的有效访问令牌

结论 #

不存在支持跨所有Workspace用户访问Gmail API的全局令牌，这是Google API的权限模型设计决定的，无法绕过。

原因说明 #

• Gmail API属于用户私有数据接口，所有访问令牌必须和单个用户身份绑定，没有全域级别的令牌可以直接访问所有用户的私有数据。
• 你已经配置的全域权限委派，作用仅为允许你的服务账号无需用户单独授权，即可模拟域内任意用户身份申请令牌，不代表可以生成跨用户的统一访问凭证。

现有实现优化方案 #

你当前按用户生成令牌的逻辑是官方唯一允许的实现方式，可通过如下方式优化性能，避免重复生成凭据的开销：

1. 缓存用户级凭据
   GoogleCredential自带令牌过期自动刷新能力，你可以将已经生成的用户凭据存入内存缓存，后续调用直接复用即可，无需每次重新读取密钥构造凭证对象，参考实现如下：

import com.google.common.cache.CacheBuilder;
import com.google.common.cache.CacheLoader;
import com.google.common.cache.LoadingCache;
import java.util.concurrent.TimeUnit;

// 全局缓存：键为用户邮箱，值为对应用户的凭据
private static final LoadingCache<String, GoogleCredential> USER_CREDENTIAL_CACHE = CacheBuilder.newBuilder()
        .expireAfterAccess(2, TimeUnit.HOURS)
        .build(new CacheLoader<>() {
            @Override
            public GoogleCredential load(String userEmail) throws Exception {
                HttpTransport httpTransport = GoogleNetHttpTransport.newTrustedTransport();
                URL keyFileUrl = GSuiteProcessor.class.getResource(SERVICE_ACCOUNT_PKCS12_FILE_PATH);
                return new GoogleCredential.Builder()
                        .setTransport(httpTransport)
                        .setJsonFactory(JACKSON_FACTORY)
                        .setServiceAccountId(SERVICE_ACCOUNT_UNIQUE_ID)
                        .setServiceAccountScopes(List.of(DirectoryScopes.ADMIN_DIRECTORY_USER, GmailScopes.MAIL_GOOGLE_COM))
                        .setServiceAccountUser(userEmail)
                        .setServiceAccountPrivateKeyFromP12File(new File(keyFileUrl.getPath()))
                        .build();
            }
        });

// 优化后的Gmail服务获取逻辑
private static Gmail getGmailService(final String user) throws Exception {
    GoogleCredential credential = USER_CREDENTIAL_CACHE.get(user);
    // 提前刷新即将过期的令牌
    if (credential.getExpiresInSeconds() != null && credential.getExpiresInSeconds() <= 60) {
        credential.refreshToken();
    }
    // HttpTransport和JACKSON_FACTORY可提前初始化为全局静态常量，无需每次创建
    return new Gmail.Builder(HTTP_TRANSPORT, JACKSON_FACTORY, credential)
            .setApplicationName(APPLICATION_NAME)
            .build();
}

2. 复用公共资源
   GoogleNetHttpTransport、JacksonFactory都是线程安全的对象，可初始化为全局静态常量，避免每次调用重复创建带来的性能损耗。

如果你需要批量访问所有用户的邮箱，可先通过Directory API拉取域内全量用户邮箱列表，再循环调用对应每个用户的Gmail接口即可，配合缓存逻辑不会有额外的性能问题。

内容的提问来源于stack exchange，提问作者Shekhar681