单服务账号操作Google Sheets的跨用户写入权限隔离方案咨询

服务账号身份模拟可行性 #

该方案完全可行，是当前场景下的最优选择：

• 前提是你已在Google Workspace管理后台为服务账号X开启全域权限委派，开启后X可模拟域内任意用户身份调用Google Workspace相关API，无需用户额外向X共享表格权限。
• 调用逻辑调整为：用户发起写入请求时，后端先确认请求用户身份，再用X模拟该用户身份调用Google Sheets API执行写入操作。此时API会直接校验被模拟用户对目标表格的权限，若用户A尝试写入用户B的私有表格，会直接返回403权限不足错误，从底层避免越权操作。
• 无需再要求所有用户向X开放表格编辑权限，权限校验完全依托Google原生权限体系，不需要额外维护权限映射规则。

Google Sheets API 相关ACL能力 #

Sheets本身的权限管理依托Google Drive API实现，你也可以通过Drive API的权限接口实现前置校验，不需要使用身份模拟能力：

• 每次接收用户的写入请求后，先调用Drive API的Permissions: get接口，查询发起请求的用户对目标spreadsheetId对应的文件是否拥有writer及以上权限，校验通过后再执行后续写入操作。
• 该方案适合服务的用户不属于同一个Google Workspace域的场景，仅需要给服务账号X授予表格的只读权限用于查询权限配置即可，无需开放编辑权限。

其他可选实现思路 #

如果以上两种方案都不满足你的业务需求，可参考以下实现：

• 服务侧维护用户-表格白名单：新增用户绑定表格的流程，用户绑定自有表格时，通过OAuth2授权拿到用户身份凭证，校验用户确实对目标表格拥有所有/编辑权限后，将用户ID <-> 表格ID的映射关系存入白名单，后续所有写入请求先校验白名单，匹配通过才放行。
• 改用用户OAuth2授权模式：放弃用单个服务账号X执行所有写入操作，改为引导每个用户通过Google账号OAuth2授权你的服务调用Sheets API，服务侧仅存储对应用户的刷新令牌，写入时使用相应用户的令牌调用API，天然实现权限隔离，越权请求会直接被API拒绝。

内容的提问来源于stack exchange，提问作者yagav